CVE-2026-97209

Nome do Software Vulnerável e Versões Afetadas Elixir versões 1.20.0-rc.4 até 1.20.4

Description Uma falha de arquivo temporário inseguro no Mix deps.partition permite que um usuário local execute código arbitrário como outro usuário. Durante a compilação particionada de dependências, a configuração do projeto é passada para as VMs de partição através de um arquivo em um diretório de nome fixo dentro do diretório temporário compartilhado do sistema. A função Mix.Tasks.Deps.Partition.server/4 em lib/mix/lib/mix/tasks/deps.partition.ex utiliza File.mkdir p/1 para criar este diretório, que não verifica o proprietário do diretório caso ele já exista. Um invasor local pode pré-criar o diretório e substituir o arquivo de configuração antes que a função client/0 o leia. O cliente então decodifica o arquivo malicioso usando :erlang.binary to term/1 e executa comandos de shell injetados através da opção compile: das dependências. Além disso, a natureza de leitura pública do arquivo de partição pode expor configurações do projeto a outros usuários locais. Este problema requer que a compilação particionada esteja ativada via variável MIX OS DEPS COMPILE PARTITION COUNT e um diretório temporário de sistema compartilhado.

Recommendations Atualize o Elixir para a versão 1.20.5. Como solução temporária, defina TMPDIR para um diretório privado por usuário com modo 0700 antes de executar o Mix. Alternativamente, desative a compilação particionada deixando MIX OS DEPS COMPILE PARTITION COUNT não definido ou definindo-o como 1.