CVE-2026-39860

Nix: privilege escalation przez symlink podczas rejestracji wyjść derivacji

CVSS 9.0v3.1pub. 2026-04-08upd. 2026-04-15

Niekompletna poprawka dla CVE-2024-27297 w menedżerze pakietów Nix umożliwia nadpisanie dowolnych plików dostępnych do zapisu przez proces Nix (zazwyczaj demon działający jako root) poprzez śledzenie symlinków podczas rejestracji wyjść fixed-output derivation. W instalacjach wieloużytkownikowych pozwala to wszystkim uprawnionym użytkownikom na uzyskanie uprawnień root.

▸ Pokaż oryginał (EN)

Nix is a package manager for Linux and other Unix systems. A bug in the fix for CVE-2024-27297 allowed for arbitrary overwrites of files writable by the Nix process orchestrating the builds (typically the Nix daemon running as root in multi-user installations) by following symlinks during fixed-output derivation output registration. This affects sandboxed Linux builds - sandboxed macOS builds are unaffected. The location of the temporary output used for the output copy was located inside the build chroot. A symlink, pointing to an arbitrary location in the filesystem, could be created by the derivation builder at that path. During output registration, the Nix process (running in the host mount namespace) would follow that symlink and overwrite the destination with the derivation's output contents. In multi-user installations, this allows all users able to submit builds to the Nix daemon (allowed-users - defaulting to all users) to gain root privileges by modifying sensitive files. This vulnerability is fixed in 2.34.5, 2.33.4, 2.32.7, 2.31.4, 2.30.4, 2.29.3, and 2.28.6.

🤖 Analiza AI

Jak działa

Tymczasowy plik wyjściowy używany podczas kopiowania wyjścia derivacji znajdował się wewnątrz chroota budowania. Budowniczy derivacji mógł w tym miejscu utworzyć symlink wskazujący na dowolną lokalizację w systemie plików. Gdy proces Nix działający w przestrzeni mount namespace hosta rejestrował wyjście, podążał za tym symlinkiem i nadpisywał cel zawartością wyjścia derivacji. W ten sposób atakujący mógł zmodyfikować dowolny plik zapisywalny przez demon Nix, w tym wrażliwe pliki systemowe.

Skutki

Użytkownik posiadający dostęp do demona Nix (domyślnie wszyscy użytkownicy systemu) może uzyskać uprawnienia root poprzez modyfikację wrażliwych plików systemowych. Podatność dotyczy wyłącznie sandboxowanych buildów na Linuksie — buildy na macOS nie są narażone.

Mitygacja

Należy zaktualizować Nix do wersji 2.34.5, 2.33.4, 2.32.7, 2.31.4, 2.30.4, 2.29.3 lub 2.28.6 (odpowiednio do używanej gałęzi). Poprawki dostępne są w repozytorium GitHub projektu NixOS/nix (commit 244f3ee, 4bc5a35, 7794354, a3163b9).

Kogo dotyczy

NixOS Nix w wersjach poprzedzających: 2.28.6, 2.29.3, 2.30.4, 2.31.4, 2.32.7, 2.33.4 oraz 2.34.5 — wyłącznie sandboxowane instalacje na Linuksie w trybie wieloużytkownikowym z demonem Nix działającym jako root.

Uwagi

Podatność jest niekompletną poprawką wcześniejszego CVE-2024-27297 dotyczącego tego samego wektora ataku (symlink podczas rejestracji wyjść derivacji). Opcja konfiguracyjna 'allowed-users' domyślnie obejmuje wszystkich użytkowników systemu, co znacząco rozszerza powierzchnię ataku w standardowych instalacjach wieloużytkownikowych.

CVSS Vector

CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Linux Kernel
OS
Linux
wszystkie wersje
Nixos Nix
APP
Nixos
2.19.4 – 2.19.72.20.5 – 2.20.92.21.0 – 2.28.6 (bez)2.29.0 – 2.29.3 (bez)2.18.2 – 2.18.92.31.0 – 2.31.4 (bez)2.32.0 – 2.32.7 (bez)2.33.0 – 2.33.4 (bez)2.34.0 – 2.34.5 (bez)2.30.0 – 2.30.4 (bez)