Megtaláltak egy sebezhetőséget a Plazmában, de a KDE már dolgozik rajta. Egyelőre ezt el kell kerülnie

Plazma sérülékenység

Amikor a Plasma-ról beszélünk, legalább egy szerverről, akkor azt tesszük, hogy elmondjuk mindazokat az előnyöket, amelyeket a gyönyörű, gördülékeny és tele KDE asztali opciók nyújtanak számunkra, de ma már kevesebb jó hírt kell adnunk. Mint összegyűjtött ZDNet, egy biztonsági kutató rendelkezik sebezhetőséget talált a Plazmában és közzétette a KDE keretrendszer meglévő biztonsági hibájának kihasználásával kapcsolatos koncepció igazolását. Jelenleg nincs más megoldás, csak egy ideiglenes megoldás, egy előrejelzés formájában, amelyet a KDE közösség közzétett a Twitteren.

Az első az első. A cikk folytatása előtt el kell mondanunk, hogy a KDE már dolgozik a nemrégiben felfedezett biztonsági hiba kijavításán. Még fontosabb annál, mint hogy tudjuk, hogy a kudarc megoldásán dolgoznak, az az átmeneti megoldás, amelyet nekünk kínálnak: mit NEM kell elvégeznünk a .desktop vagy .directory kiterjesztésű fájlok letöltését megbízhatatlan forrásokból. Röviden: nem olyasmit kell tennünk, amit soha nem kellene, hanem ezúttal több okkal.

Hogyan működik a felfedezett plazma biztonsági rés

A probléma abban rejlik, hogy a KDesktopFile hogyan kezeli az említett .desktop és .directory fájlokat. Felfedezték, hogy .desktop és .directory fájlok hozhatók létre rosszindulatú kód, amely felhasználható egy ilyen kód futtatására a számítógépen az áldozat. Amikor egy plazma felhasználó megnyitja a KDE fájlkezelőt, hogy elérje a könyvtárat, ahol ezeket a fájlokat tárolják, a rosszindulatú kód a felhasználó beavatkozása nélkül fut.

A technikai oldalon a sebezhetőség használható shell parancsok tárolására a .desktop és .directory fájlokban található szokásos "Icon" bejegyzéseken belül. Aki felfedezte a hibát, azt mondja, hogy a KDE «végrehajtja a parancsunkat, amikor a fájl látható”.

Alacsony súlyosságú felsorolt ​​hiba - a szociális mérnököt kell használni

A biztonsági szakértők nem minősítik nagyon súlyosnak a kudarcot, főleg azért, mert el kell érnünk, hogy letöltsük a fájlt a számítógépünkre. Nem sorolhatják komolyan, mert a .desktop és a .directory fájlok nagyon ritkák, vagyis nem normális, hogy az interneten keresztül töltsük le őket. Ezt szem előtt tartva állítólag becsapnak bennünket arra, hogy töltsünk le egy fájlt a kártékony kóddal, amely a biztonsági rés kihasználásához szükséges.

Az összes lehetőség felméréséhez a rosszindulatú felhasználó tömörítheti a fájlokat ZIP vagy TAR formátumban És amikor kibontottuk és megnéztük a tartalmat, a rosszindulatú kód észrevétlenül fut. Ezenkívül a kihasználás felhasználható a fájl letöltésére a rendszerünkre anélkül, hogy interakcióba lépnénk vele.

Ki fedezte fel a falluszt, Penner, nem mondta el a KDE közösségnek mivel "Főleg egy 0 napot akartam elhagyni Defcon előtt. Azt tervezem, hogy be fogom jelenteni, de a probléma inkább a tervezés hibája, mintsem a tényleges sebezhetőség, annak ellenére, hogy képes megtenni«. Másrészt a KDE közösség nem meglepő módon nem örült annak, hogy hibát tettek közzé, mielőtt közölték volna velük, de egyszerűen azt mondták, hogy «Nagyra értékeljük, ha kapcsolatba lépne a security@kde.org céggel, mielőtt kihasználná a nyilvánosságot, hogy együtt dönthessünk egy ütemtervről.”.

Sebezhető 5. plazma és KDE 4

Akik nem ismerik a KDE-t, tudják, hogy a grafikus környezetet plazmának hívják, de ez nem mindig volt ilyen. Az első három verziót KDE-nek, míg a negyediket KDE Software Compilation 4-nek hívták. Külön név, a sebezhető verziók a KDE 4 és a Plazma 5. Az ötödik verzió 2014-ben jelent meg, így bárki számára nehéz használni a KDE 4-et.

Mindenesetre arra várok, hogy a KDE Közösség kiadja a javítást, amelyen jelenleg dolgoznak ne bízz senkiben, aki .desktop vagy .directory fájlt küld neked. Ezt mindig meg kell tennünk, de most több okkal. Bízom a KDE közösségben, és hogy néhány nap múlva minden megoldódik.

Hiba az Ubuntu kerneljében
Kapcsolódó cikk:
Frissítés: A Canonical kiadta a kern új verzióját négy közepes sürgősségű sebezhetőség kijavítására

Legyen Ön az első hozzászóló

Hagyja megjegyzését

E-mail címed nem kerül nyilvánosságra. Kötelező mezők vannak jelölve *

*

*

  1. Az adatokért felelős: Miguel Ángel Gatón
  2. Az adatok célja: A SPAM ellenőrzése, a megjegyzések kezelése.
  3. Legitimáció: Az Ön beleegyezése
  4. Az adatok közlése: Az adatokat csak jogi kötelezettség alapján továbbítjuk harmadik felekkel.
  5. Adattárolás: Az Occentus Networks (EU) által üzemeltetett adatbázis
  6. Jogok: Bármikor korlátozhatja, helyreállíthatja és törölheti adatait.