Emacs: неполное исправление CVE-2024-53920 приводит к выполнению произвольного кода (CVE-2026-96442)
В Emacs обнаружена уязвимость выполнения произвольного кода, затрагивающая версии до 31.2. Режим Flymake при использовании языковых бэкендов, отличных от Lisp, выполняет код из редактируемого файла во время проверки синтаксиса. Проблема является неполным исправлением CVE-2024-53920 и оценена в 7.8 (HIGH).
Подробности
Уязвимость затрагивает Emacs версий до 31.2. Причина — поведение режима Flymake, встроенного инструмента проверки синтаксиса «на лету». Если для проверки используется языковой бэкенд, отличный от Lisp, Flymake выполняет произвольный код из редактируемого файла в процессе анализа синтаксиса. Таким образом, само открытие или редактирование недоверенного файла может привести к выполнению кода с правами пользователя, запустившего Emacs. Согласно описанию, данная проблема представляет собой неполное исправление уязвимости CVE-2024-53920: предыдущий патч не закрыл все векторы эксплуатации, связанные с Flymake и сторонними языковыми бэкендами. Уровень опасности по шкале CVSS составляет 7.8 (HIGH). В список затронутых продуктов входят дистрибутивы Red Hat Enterprise Linux версий 6, 7, 8, 9 и 10, в состав которых входит уязвимый Emacs.Что делать
Основная рекомендация — обновить Emacs до версии 31.2 или более поздней, в которой устранена данная проблема. Пользователям дистрибутивов Red Hat следует отслеживать выпуск обновлённых пакетов Emacs в соответствующих репозиториях и установить их после публикации. До момента установки обновления рекомендуется соблюдать осторожность при работе с недоверенными файлами: - не открывайте и не редактируйте файлы из ненадёжных источников в Emacs без необходимости; - рассмотрите возможность отключения Flymake или ограничения используемых языковых бэкендов при работе с потенциально опасным содержимым; - применяйте принцип минимальных привилегий: не запускайте Emacs с повышенными правами для повседневной работы с файлами. Организациям, использующим Emacs в рабочих процессах обработки внешних данных, стоит проверить свои конфигурации Flymake и оценить, какие бэкенды задействованы по умолчанию. Итог: CVE-2026-96442 — показательный случай, когда неполное исправление предыдущей уязвимости оставляет продукт уязвимым. Пользователям Emacs и администраторам парков машин на базе Red Hat Enterprise Linux следует приоритизировать обновление до версии 31.2 и внимательно относиться к открытию недоверенных файлов до установки патча.Источник: CVE Project (cvelistV5)