Закачивал по zmodem музыку себе на ноутбук и понял, что символ ` (shell exec) minicom-2.00.0-alt6 не экранируется. То есть послать файлы такие нельзя --- он вызывает rz и получается битая командная строка. Вдобавок подумал я: а что, если можно закачать по zmodem файл со специальным именем, который при попытке его принять вызовет arbitrary shell command? --- ---
Хотя нет, в оригинале он вызывал sz всё-таки. Но это роли не играет.
Проверил: в minicom Ctrl-A S выбираем zmodem выбираем, например, \"a`z\" -- при посылке происходит не то, что ожидается нормальным пользователем, а то что вы и сказали: команда rz передаётся shell с этим символом, и shell обращается с ним как со специальным. С sz ничего придумать не получилось: на терминале выполняется \"sz a\\`z\", при приёме вызывается просто rz, он создаёт файл с таким именем, никаких проблем. А как это произошло у Вас? edited on: 13-08 00:24
На 2.1-alt1 ошибка с rz повторяется.
Reported upstream: <a href="https://alioth.debian.org/tracker/index.php?func=detail&aid=300083&group_id=31&atid=100031">https://alioth.debian.org/tracker/index.php?func=detail&aid=300083&group_id=31&atid=100031</a>
any news?
В BTS minicom я этого бага уже не нашёл. Какое текущее состояние?
Согласно "cvs -d:pserver:anonymous@cvs.alioth.debian.org:/cvsroot/minicom сo minicom/ChangeLog", текущее состояние таково: 2003-09-27 Adam Lackorzynski <adam@os.inf.tu-dresden.de> * src/util.c: fastexec(): disable execution through a shell, this is potentially security relevant (e.g. user selects a file with embedded shellcode for upload), so disable it for now and see if someone complains Думаю, что надо backportить.
Согласен.
А воз и ныне там? Может, пакет уже пора передать в хорошие руки?
Куда угодно, но чтобы в Мастере был! Он мне бывает нужен, пусть даже и с дыркой.
в contrib его
Кх-кх...
Может, пакет уже пора передать в хорошие руки?
Похоже что пора ! Ваня, что с пакетом ?
pilot: тебя печёт, ты и отбивайся? ;-)
fixed in minicom-2.1-alt2 Приложил патч из Debian. Проверяйте.
