के.आर.के. मधील एक असुरक्षितता संकुचित फाइल उघडताना फायली अधिलिखित करण्यास अनुमती देते

डोमिनिक पेनर आणि केडीई प्रोजेक्टने असुरक्षा विषयी चेतावणी दिली गंभीर आर्क फाईल व्यवस्थापकात (केडीई प्रोजेक्टद्वारे विकसित केलेले) ज्यात सॉफ्टवेअर नेहमी जेथे असावे त्या फायली अनझिप करत नाही.

पेनरने 20 जुलै, 2020 रोजी केडीई सुरक्षा कार्यसंघाकडे या असुरक्षिततेची नोंद केली आणि आर्के 20.08.0 मध्ये बग द्रुतपणे निश्चित केला गेला.

आणि तेच, खास क्राफ्ट केलेली फाईल उघडताना अनुप्रयोग मध्ये, असुरक्षा तुम्हाला डिरेक्टरीच्या बाहेर फाईल ओव्हरराईट करण्यास परवानगी देते फाईल उघडण्यासाठी निर्दिष्ट.

कारण एआरके केडी वातावरणात प्रमाणित आहे आणि जवळजवळ सर्व लिनक्स वितरण आणि वातावरणात वापरले जाते केडीई वापरकर्त्यास आपोआप अनुप्रयोग सुरू करण्यास परवानगी देतो जेव्हा वापरकर्ता लॉग इन करतो.

हे स्वयंचलित प्रारंभ .desktop फायली तयार करून कॉन्फिगर केले आहेत लॉगिन करताना कोणता प्रोग्राम चालवायचा हे निर्दिष्ट करणार्‍या ~ / .config / autostart फोल्डरमधील विशेष.

फायली उघडताना देखील समस्या स्वतः प्रकट होते फाइल व्यवस्थापक डॉल्फिन (संदर्भ मेनूमधील आयटम एक्सट्रॅक्ट करा), जे फाईलसह कार्य करण्यासाठी आर्क कार्यक्षमता वापरते. झीप स्लिपसह असुरक्षितता दीर्घकालीन समस्येची आठवण करुन देते.

त्रुटीचा फायदा घेण्यासाठी, आक्रमणकर्त्यास तयार केलेली फाईल उघडण्यासाठी फक्त पीडिताला भुरळ घालावे लागते दुर्भावनायुक्त कारणांसाठी. एकदा उघडल्यावर गुंडाळलेला मालवेअर आपोआप चालू होईल नियोजित उपक्रम राबविणे. हे क्रिप्टो खनिक आणि ट्रोजन्सच्या स्थापनेपासून ते रिन्समवेअर हल्ले आणि बॅकडोर इम्प्लांटपर्यंत असू शकते.

हे दाखवण्यासाठी, पेनरने असुरक्षिततेचे शोषण करण्यासाठी एक पीओसी कोड विकसित केला वर्तमान फोल्डरमध्ये विशेष रचलेली फाइल मिळवून आपोआप केडीई ऑटोरन कॉन्फिगरेशन फाइल्स तयार होते. एकदा ऑटोरन कॉन्फिगर झाल्यानंतर, पुढील वेळी संगणक रीस्टार्ट झाल्यावर आणि वापरकर्त्याने खात्यात लॉग इन केले, तेव्हा प्रोग्राम चालू होईल निर्दिष्ट, जे रिमोट कोड अंमलबजावणीकडे नेईल.

हे करू शकते, वर्क २०.०20.04.3. to पर्यंत तारखेमध्ये केडीई-घोषित मेलिंग यादीवरील चेतावणी ईमेलनुसार, ते आता दाखवतेआर सुरक्षा समस्या असू शकते. हाताळलेल्या फायली मुख्यपृष्ठ डिरेक्टरीमध्ये कोठेही त्यांच्या फायली अनझिप करू शकतात.

सीव्हीई -2020-16116 एक तथाकथित पथ ट्रॅव्हर्सल हल्ला आहे. सल्लागारानुसार, हल्लेखोर दुर्भावनायुक्त फाइल्समध्ये मार्ग माहिती अशा प्रकारे हाताळू शकतात की त्यातील फायली अनझिप केल्यावर वापरकर्त्याच्या होम डिरेक्टरीमध्ये कोठेही समाप्त होतात (येथेच वापरकर्त्याचा संवाद आवश्यक आहे).

आक्रमणकर्ता ".bashrc" बदलू शकतो किंवा "~ / .config / autostart" मध्ये कोणतीही स्क्रिप्ट संचयित करू शकतो आपला कोड व्यवस्थापित करण्यासाठी आणि सध्याच्या वापरकर्त्याच्या विशेषाधिकारांसह तो चालविण्यासाठी.

असुरक्षा शोधणे म्हणजे फाईलमध्ये »../» अक्षरे असलेले पथ समाविष्ट करण्याच्या बरोबरीचे आहे, प्रक्रियेदरम्यान आर्क बेस निर्देशिकेच्या पलीकडे जाऊ शकतो.

अन्वेषकांनी असुरक्षा शोधल्यानंतर, केडीईने टूलसाठी पॅच सोडला.

केडीई अ‍ॅडव्हायझीनुसार, असुरक्षितता, सीव्हीई -2020-16116, लक्षणीय तीव्रता रेटिंग प्राप्त केले. केडीईने आर्क 20.08.0 च्या रीलिझसह बग निश्चित केले जे दुर्भावनायुक्त फाइल अपलोडस देखील विचारात घेऊन प्रतिबंधित करते पुढील निराकरण प्रस्तावित केले आहे.

केडीई वापरकर्त्यांनी अद्ययावत स्थापित करावी किंवा असुरक्षिततेचे निराकरण करणार्‍या फाईलसह मागील आवृत्ती खाली करावी.

जरी प्रत्येक फाईलचे डिंकप्रेस करण्यापूर्वी पडताळणी करण्याची शिफारस केली गेली आहे. फाईलमध्ये एखादी प्रविष्टी असल्यास जी उच्च-स्तरीय निर्देशिकेशी संदर्भित असेल (उदाहरणार्थ, “../” ”), काळजी घेणे आवश्यक आहे.

ज्यांना या असुरक्षाचा फायदा घेता येऊ शकेल अशा फायलींच्या प्रकारची रचना जाणून घेण्यात रस असलेल्यांसाठी. ते नमुना फाईल वापरुन चाचणी घेऊ शकतात खालील दुव्यावर दुर्भावनायुक्त.

पेनरला असे आढळले की एआरके संग्रहण युटिलिटी अनझिपिंग करताना क्रॉस कॅरेक्टर्स पथातून हटवित नाही. या बगने फायली तयार करण्याची परवानगी दिली ज्या वापरकर्त्यास प्रवेश कोठेही फाइल्स काढू शकतील.

शेवटी, जर आपल्याला त्याबद्दल अधिक जाणून घ्यायचे असेल तर आपण मधील तपशील तपासू शकता खालील दुवा.