Vulnerabilidad en Mock (CVE-2023-6395)

El software Mock contiene una vulnerabilidad en la que un atacante podría explotar la escalada de privilegios, permitiendo la ejecución de código arbitrario con privilegios de usuario root. Esta debilidad se debe a la ausencia de una sandbox adecuada durante la expansión y ejecución de las plantillas de Jinja2, que pueden incluirse en ciertos parámetros de configuración. Si bien la documentación de Mock recomienda tratar a los usuarios agregados al grupo simulado como privilegiados, ciertos sistemas de compilación que invocan simulacros en nombre de los usuarios podrían permitir sin darse cuenta que usuarios con menos privilegios definan etiquetas de configuración. Luego, estas etiquetas podrían pasarse como parámetros para simular durante la ejecución, lo que podría llevar a la utilización de plantillas Jinja2 para la escalada remota de privilegios y la ejecución de código arbitrario como usuario raíz en el servidor de compilación.