CVE-2025-69257 in theshit
要約
〜によって VulDB • 2026年07月26日
theshitは、シェルコマンドの一般的なミスを自動的に検出して修正するコマンドラインユーティリティです。バージョン0.1.1より前では、このアプリケーションは特権昇格された状態で実行される際、所有権やパーミッションを検証せずにユーザーが書き込み可能な場所（例：`~/.config/theshit/`）からカスタムPythonルールおよび設定ファイルを読み込んでいました。もしツールが `sudo` で呼び出されたり、実効UIDがrootである他の方法で実行されたりした場合、特権のないユーザーの環境に由来する設定ファイルを信頼し続けます。これにより、ローカル攻撃者は悪意のあるルールまたは設定ファイルを通じて任意のPythonコードを注入でき、それがroot権限で実行されます。このツールが高権限で実行されるすべてのシステムが影響を受けます。 `sudo` を使用してパスワードなし（`NOPASSWD`）でツールの実行が許可されている環境では、ローカルの特権のないユーザーは追加の対話操作なくしてルートへの権限昇格を行うことができます。この問題はバージョン0.1.1で修正されました。パッチにより、すべての設定ファイルおよびカスタムルールに対して厳密な所有権とパーミッションチェックが導入されました。アプリケーションは現在、ツールを実行している実効ユーザーによって所有されている場合のみルールを読み込むよう強制します。特権昇格された状態（`EUID=0`）で実行される際、rootによって所有されていないか、または非rootユーザーに対して書き込み可能なファイルの読み込みを拒否します。非rootユーザーとして実行する場合も同様に、他のユーザーが所有するルールの読み込みを拒否します。これにより、信頼できないコードの実行を通じた垂直方向および水平方向の権限昇格が防止されます。アップグレードができない場合、ユーザーは `sudo` を使用してまたはrootユーザーとしてアプリケーションを実行しないようにしてください。一時的な緩和策として、カスタムルールおよび設定ファイルを含むディレクトリをrootによって所有させ、非rootユーザーに対して書き込み不可にすることを確保してください。管理者はまた、特権昇格された状態でツールを実行する前に既存のカスタムルールを検証することもできます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.