CVE-2025-1244
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
W edytorze tekstu Emacs odkryto podatność na wstrzykiwanie poleceń. Zdalny, nieuwierzytelniony atakujący może wykorzystać ją do wykonania dowolnych poleceń powłoki na podatnym systemie. Atak polega na nakłonieniu użytkownika do odwiedzenia specjalnie spreparowanej strony internetowej lub URL-a HTTP z przekierowaniem.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości przejęcia kontroli nad systemem użytkownika, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub dalszego ataku na infrastrukturę sieciową.
Rekomendacja
Zaleca się natychmiastową aktualizację Emacsa do najnowszej wersji zawierającej poprawkę bezpieczeństwa. Do czasu aktualizacji należy unikać otwierania nieznanych linków HTTP oraz korzystania z Emacsa do przeglądania stron internetowych.
Inne podatności w Emacs
Zobacz wszystkie- CVE-2014-9483Wysokie
Emacs 24.4 pozwala zdalnym atakującym na obejście ograniczeń bezpieczeństwa.
- CVE-2000-0271Średnie
Funkcje read-passwd i inne funkcje Lisp w Emacs 20 nie usuwają poprawnie historii ostatnio wprowadzonych klawiszy, co pozwala atakującemu na odczytanie niezaszyfrowanych haseł.
- CVE-2000-0269Niskie
Emacs 20 nieprawidłowo ustawia uprawnienia dla urządzenia slave PTY podczas uruchamiania nowego podprocesu, co pozwala lokalnym użytkownikom na odczyt lub modyfikację komunikacji między Emacsem a podprocesem.
- CVE-2000-0270Niskie
Funkcja make-temp-name w Emacs 20 tworzy pliki tymczasowe z przewidywalnymi nazwami, co umożliwia atakującym przeprowadzenie ataku symlink.
Oryginalny opis (angielski, źródło NVD)
A command injection flaw was found in the text editor Emacs. It could allow a remote, unauthenticated attacker to execute arbitrary shell commands on a vulnerable system. Exploitation is possible by tricking users into visiting a specially crafted website or an HTTP URL with a redirect.