CVE-2021-3934

Esta entrada es deliberadamente escueta, así que la leemos de forma conservadora. oh-my-zsh, el popular framework de configuración de zsh, no neutraliza elementos especiales en un comando del sistema operativo en algún punto de su scripting. El vector CVSS es la parte más informativa: alta complejidad de ataque más interacción del usuario requerida significa que el fallo no se dispara por sí solo; necesita que una víctima realice una acción que enrute entrada controlada por el atacante hacia el comando vulnerable.

Como oh-my-zsh se ejecuta dentro del propio shell interactivo del usuario, la "inyección de comandos del sistema operativo" aterriza en el nivel de privilegio existente de ese usuario, no como root surgido de la nada. El escenario creíble es un valor hostil —un nombre de directorio, repositorio o rama— que fluye hacia un comando que se ejecuta cuando el usuario entra en un checkout manipulado. Esa es una trampa real para desarrolladores, pero es oportunista y condicionada por la interacción, que es exactamente por qué los requisitos de complejidad y de interacción del usuario la mantienen fuera del nivel crítico a pesar del CWE alarmante.

Con tan pocos detalles en el registro, nuestra postura es el inventario del entorno de desarrollo en lugar de la alarma. oh-my-zsh vive en los dotfiles y en las imágenes base de CI, no típicamente en producción inventariada, así que el trabajo es detectar dónde una revisión vulnerable está incorporada en las configuraciones de build o de estaciones de trabajo y actualizarla. Lo clasificamos como higiene de estaciones de trabajo/CI y evitamos explícitamente inflar un fallo poco especificado de framework de shell hasta convertirlo en una amenaza expuesta a internet que los datos no respaldan.