Omabumpの検証で、特権で動くVoxtype更新フックの欠陥が判明

Vladkarokによる新しいOmabumpスナップショットの検証依頼は、omacom/omarchy-plugin-marketplace#10910で引き続きオープンとなっています。レビュー中、HANCORE-linuxは、Voxtypeのパッケージフックが共有一時ディレクトリから引き継ぎ用ファイルを所有者確認なしで読み込み、攻撃者が制御する実行ファイルをシステムのランチャーとして受け入れることを指摘しました。

Vladkarokはこの仕組みを確認し、通常のパッケージ更新でも同じフックが動くため、修正すべき場所はプラグインではなくパッケージ側だと説明しました。作者は、rootだけがアクセスできる保存先を使い、復元する実行ファイルのパスを制限する変更案を示しました。その修正がマージされた後で、Omabumpが固定参照しているレシピを更新する予定としています。応答はomacom/omarchy-plugin-marketplace#10910:issuecomment-6098036843に記録されていますが、提示された議論からはパッケージ側の修正完了を確認できません。