Podatności mise

Narzędzie mise, zarządzające wersjami narzędzi deweloperskich, przed wersją 2026.7.1 zapisuje plik wykonywalny mise/bin/mise z identyfikatorami użytkownika i grupy 1001, a proces instalacji nie normalizuje własności, co pozwala lokalnemu użytkownikowi o tych identyfikatorach podmienić zainstalowany plik, szczególnie gdy ścieżka instalacji wskazuje na współdzieloną lokalizację jak /usr/local/bin.

Narzędzie mise przed wersją 2026.3.10 przetwarza pliki .tool-versions przez silnik szablonów Tera z zarejestrowaną funkcją exec(), co umożliwia wykonanie dowolnych poleceń. W przeciwieństwie do plików .mise.toml, pliki .tool-versions nie podlegają weryfikacji zaufania w trybie nieparanoidalnym, co pozwala atakującemu na umieszczenie złośliwego pliku w repozytorium git i wykonanie kodu bez ostrzeżenia.

mise zarządza narzędziami deweloperskimi, takimi jak node, python, cmake i terraform. Od wersji 2026.2.18 do 2026.4.5 mise ładuje ustawienia kontroli zaufania z lokalnego pliku .mise.toml przed wykonaniem sprawdzenia zaufania. Atakujący, który może umieścić złośliwy plik .mise.toml w repozytorium, może sprawić, że ten sam plik będzie wydawał się zaufany, a następnie uzyskać dostęp do niebezpiecznych dyrektyw, takich jak [env] _.source, templates, hooks lub tasks.