Когато говорим за плазма, поне един сървър, ние го правим, за да разкажем за всички предимства, които ни предлага красивата, плавна и пълна с KDE опции за настолни компютри, но днес трябва да дадем по-малко добри новини. Както е събрано в ZDNet, изследовател по сигурността има намери уязвимост в плазмата и публикува доказателство за концепция, използваща съществуващия недостатък на сигурността в KDE Framework. В момента няма налично решение, освен временно под формата на прогноза, която KDE общността е публикувала в Twitter.
Първият е първият. Преди да продължим със статията, трябва да кажем, че KDE вече работи за отстраняване на наскоро открития недостатък в сигурността. Дори по-важно от това да знаят, че работят за разрешаване на провала е временното решение, което ни предлагат: какво НЕ е необходимо да изтегляме файлове с разширение .desktop или .directory от ненадеждни източници. Накратко, не е нужно да правим нещо, което никога не би трябвало да правим, но този път с повече основание.
Как работи откритата уязвимост на плазмата
Проблемът е в това как KDesktopFile обработва споменатите .desktop и .directory файлове. Установено е, че .desktop и .directory файлове могат да бъдат създадени с злонамерен код, който може да се използва за стартиране на такъв код на компютъра на жертвата. Когато потребител на плазма отвори файловия мениджър на KDE за достъп до директорията, в която се съхраняват тези файлове, зловредният код се изпълнява без взаимодействие с потребителя.
От техническа страна, уязвимост може да се използва за съхраняване на команди на черупки в рамките на стандартните записи "Икона", намерени във файловете .desktop и .directory. Който е открил грешката, казва, че KDE «ще изпълни нашата команда, когато файлът се види".
Грешка с ниска степен на сериозност - трябва да се използва социално инженерство
Експертите по сигурността те не класифицират неуспеха като много сериозен, главно защото трябва да ни накараме да изтеглим файла на нашия компютър. Те не могат да го класифицират като сериозен, тъй като .desktop и .directory файлове са много редки, тоест не е нормално да ги изтегляме през интернет. Имайки предвид това, те трябва да ни подлъжат да изтеглим файл със злонамерения код, необходим за експлоатация на тази уязвимост.
За да се оценят всички възможности, злонамерен потребител може да компресира файловете в ZIP или TAR И когато го разархивирахме и разгледахме съдържанието, зловредният код щеше да се изпълни, без да сме го забелязали. Освен това експлойтът може да се използва за изтегляне на файла в нашата система, без да взаимодействаме с него.
Кой откри фалоса, Penner, не каза на KDE общността защото "Главно исках да оставя 0 дни преди Defcon. Смятам да докладвам, но проблемът е по-скоро недостатък в дизайна, отколкото действителна уязвимост, въпреки какво може да направи«. От друга страна, KDE общността, не е изненадващо, не е много щастлива, че грешка е публикувана, преди да им я съобщят, но те са се ограничили да кажат, че «Ще се радваме, ако можете да се свържете с security@kde.org, преди да стартирате публичен експлойт, за да можем заедно да вземем решение за времевата линия.".
Уязвима плазма 5 и KDE 4
Тези от вас, които са нови в света на KDE, знаят, че графичната среда се нарича Плазма, но не винаги е била такава. Първите три версии бяха наречени KDE, докато четвъртата беше наречена KDE Software Compilation 4. Отделно име, уязвимите версии са KDE 4 и Plasma 5. Петата версия беше пусната през 2014 г., така че е трудно някой да използва KDE 4.
Във всеки случай и чакаме KDE общността да пусне корекцията, върху която вече работят, за момента не вярвайте на никого, който ви изпраща .desktop или .directory файл. Това е нещо, което винаги трябва да правим, но сега с повече причини. Вярвам на KDE общността и че след няколко дни всичко ще бъде решено.
