Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Emacs opravuje 2 vysoko závažné zraniteľnosti

Emacs verziou 30.1 opravuje 2 vysoko závažné zraniteľnosti [1][2]. Z operačných systémov vydal opravu napríklad Slackware v rámci SSA:2025-057-01 [3] a Debian vo verzii 1:27.1+1-3.1+deb11u6 pre vydanie bullseye (security), 1:28.2+1-15+deb12u4 pre bookworm (security) a 1:30.1+1-3 pre sid a trixie [4][5]. Red Hat poskytol opravu CVE-2025-1244 [6][7]. Gentoo ponúka verziu 30.1 ako testovaciu [8].

Emacs - command execution (CVE-2025-1244)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je pomocou sociálneho inžinierstva umožnené spúšťať ľubovoľné shellové príkazy vďaka nedostatočnej validácii vstupu a spracovaniu "man" URI [6][9].

Zraniteľnosť sa nachádza v produkte:

  • *:Emacs;<30.1;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-1244 na cve.org, NVD
  • CWE-78: Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 2. 2025.

Emacs - RCE (CVE-2024-53920)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je umožnené spustiť kód cez škodlivý .el súbor vďaka chybnému rozširovaniu makier (macro expansion) v Emacs Lisp pri prezeraní alebo úprave kódu na stroji obete. Kód môže byť vykonaný automaticky pri kontrole chýb (Flymake/Flycheck) alebo dopĺňaní kódu [7][10]. Zmiernenie rizika spočíva v zákaze automatickej kontroly chýb pomocou Flymake/Flycheck, deaktivácii automatického dopĺňania kódu v nedôveryhodných .el súboroch a nastavení "enable-local-eval" na "nil". Opravená verzia tieto mechanizmy implementuje. Detailné informácie o zraniteľnosti sú k dispozícii na [10].

Zraniteľnosť sa nachádza v produkte:

  • *:Emacs;<30;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 27. 11. 2024.

Za CESNET, z.s.p.o. Michaela Ručková dňa 5. 3. 2025.

CESNET, z.s.p.o. Logo