عندما نتحدث عن Plasma ، خادم واحد على الأقل ، نقوم بذلك لنخبرنا عن جميع المزايا التي توفرها لنا خيارات سطح مكتب KDE الجميلة والسلاسة والمليئة ، ولكن علينا اليوم تقديم أخبار أقل جيدة. كما تم جمعها في زدنيت، باحث أمني لديه وجدت ثغرة في البلازما ونشر دليلًا على مفهوم يستغل الثغرة الأمنية الموجودة في إطار عمل كيدي. لا يوجد حل متاح الآن ، بخلاف حل مؤقت في شكل توقعات نشرها مجتمع KDE على Twitter.
الأول هو الأول. قبل متابعة المقالة ، يجب أن نقول إن KDE تعمل بالفعل على إصلاح الخلل الأمني الذي تم اكتشافه مؤخرًا. والأهم من معرفة أنهم يعملون على حل الفشل هو الحل المؤقت الذي يقدمونه لنا: ماذا لا يتعين علينا تنزيل الملفات بامتداد .desktop أو .directory من مصادر غير موثوقة. باختصار ، لا يتعين علينا القيام بشيء لا يفترض بنا أبدًا القيام به ، ولكن هذه المرة بمزيد من الأسباب.
كيف تعمل ثغرة البلازما المكتشفة
تكمن المشكلة في كيفية معالجة KDesktopFile لملفات .desktop و. directory. تم اكتشاف أنه يمكن إنشاء ملفات .desktop و .directory باستخدام التعليمات البرمجية الخبيثة التي يمكن استخدامها لتشغيل مثل هذه التعليمات البرمجية على الكمبيوتر من الضحية. عندما يفتح مستخدم Plasma مدير ملفات KDE للوصول إلى الدليل حيث يتم تخزين هذه الملفات ، يتم تشغيل التعليمات البرمجية الضارة دون تدخل المستخدم.
من الناحية الفنية ، الضعف يمكن استخدامها لتخزين أوامر shell ضمن إدخالات "Icon" القياسية الموجودة في ملفات .desktop و .directory. من اكتشف الخلل يقول أن كيدي «سينفذ أمرنا متى شوهد الملف".
خطأ منخفض الخطورة - يجب استخدام الهندسة الاجتماعية
خبراء الأمن إنهم لا يصنفون الفشل بأنه خطير للغاية، ويرجع ذلك أساسًا إلى أنه يتعين علينا حملنا على تنزيل الملف على جهاز الكمبيوتر الخاص بنا. لا يمكنهم تصنيفها على أنها خطيرة لأن ملفات سطح المكتب والدليل نادرة جدًا ، أي أنه ليس من الطبيعي بالنسبة لنا تنزيلها عبر الإنترنت. مع وضع ذلك في الاعتبار ، من المفترض أن يخدعونا لتنزيل ملف يحتوي على شفرة ضارة ضرورية لاستغلال هذه الثغرة الأمنية.
لتقييم كل الاحتمالات ، فإن يمكن لمستخدم ضار ضغط الملفات في ZIP أو TAR وعندما قمنا بفك ضغطه وعرض المحتوى ، سيتم تشغيل الشفرة الضارة دون أن نلاحظ ذلك. علاوة على ذلك ، يمكن استخدام الاستغلال لتنزيل الملف على نظامنا دون تفاعلنا معه.
من اكتشف القضيب ، Penner ، لم يخبر مجتمع KDE لان "في الأساس ، أردت فقط ترك 0 يوم قبل Defcon. أخطط للإبلاغ عن ذلك ، لكن المشكلة هي عيب في التصميم أكثر من كونها ثغرة أمنية فعلية ، على الرغم من ما يمكن أن تفعله«. من ناحية أخرى ، لم يكن مجتمع KDE ، بشكل غير مفاجئ ، سعيدًا جدًا بنشر خطأ قبل نقله ، لكنهم اقتصروا على قول ذلك «سنكون ممتنين لو تفضلتم بالاتصال بـ security@kde.org قبل إطلاق استغلال للجمهور حتى نتمكن من اتخاذ قرار معًا بشأن جدول زمني.".
البلازما الضعيفة 5 و كيدي 4
أولئك الجدد في عالم كيدي يعرفون أن البيئة الرسومية تسمى البلازما ، لكنها لم تكن دائمًا على هذا النحو. كانت الإصدارات الثلاثة الأولى تسمى KDE ، بينما كان الإصدار الرابع يسمى KDE Software Compilation 4. اسم منفصل ، الإصدارات الضعيفة هي KDE 4 و Plasma 5. تم إصدار الإصدار الخامس في عام 2014 ، لذلك يصعب على أي شخص استخدام كيدي 4.
على أي حال ، وفي انتظار قيام مجتمع KDE بإصدار التصحيح الذي يعملون عليه بالفعل ، في الوقت الحالي لا تثق في أي شخص يرسل لك ملف .desktop أو .directory. هذا شيء يجب أن نفعله دائمًا ، ولكن الآن مع المزيد من الأسباب. أنا أثق في مجتمع KDE وسيتم حل كل شيء في غضون أيام قليلة.
