CVE-2021-3934

Este registro é deliberadamente escasso, então o lemos de forma conservadora. O oh-my-zsh, o popular framework de configuração do zsh, falha em neutralizar elementos especiais em um comando de SO em algum ponto de seus scripts. O vetor CVSS é a parte mais informativa: alta complexidade de ataque somada à necessidade de interação do usuário significa que a falha não dispara sozinha — precisa de uma vítima que execute uma ação que encaminhe entrada controlada pelo atacante para o comando vulnerável.

Como o oh-my-zsh executa dentro do próprio shell interativo do usuário, a "injeção de comando de SO" aterrissa no nível de privilégio existente daquele usuário, e não em root surgido do nada. O cenário plausível é um valor hostil — um nome de diretório, repositório ou branch — fluindo para um comando que roda quando o usuário entra em um checkout armadilhado. É uma armadilha real para desenvolvedores, mas é oportunista e condicionada à interação, que é exatamente o motivo pelo qual os requisitos de complexidade e de interação do usuário a mantêm fora do nível crítico, apesar do CWE assustador.

Com tão poucos detalhes no registro, nossa postura é o inventário do ambiente de desenvolvimento, e não o alarme. O oh-my-zsh vive em dotfiles e imagens-base de CI, tipicamente não na produção inventariada, então o trabalho é identificar onde uma revisão vulnerável está incorporada nas configurações de build ou de estações de trabalho e atualizá-la. Nós a classificamos como higiene de estação de trabalho/CI e evitamos explicitamente inflar um bug de framework de shell subespecificado em uma ameaça voltada para a internet que os dados não sustentam.