FreeBSD: doas -- 環境変数の受け渡しの妨げ（7f7d6412-bae5-11e9-be92-3085a9a95629）

high Nessus プラグイン ID 127548

Language:

概要

リモートのFreeBSDホストに、セキュリティ関連の更新プログラムがありません。

説明

Jesse Smith氏（doasプログラムのアップストリーム作者）による報告:

以前のバージョンの「doas」では、USER、HOME、PATHなどほとんどの環境変数は元のユーザーからターゲットユーザーに転送されていました。

これらの変数を渡すことで、正しくないパスまたはホームディレクトリのファイルが読み取られる（または書き込まれる）可能性があり、これによりセキュリティ問題が発生する可能性があります。

この問題を報告し、どのように悪用される可能性があるかを説明してくれたSander Bos氏に感謝の意を表します。