Когда мы говорим о Plasma, по крайней мере, об одном сервере, мы делаем это, чтобы рассказать обо всех преимуществах, которые предлагает нам красивый, гибкий и полный набор параметров рабочего стола KDE, но сегодня мы должны сообщить меньше хороших новостей. Как собрано в ZDNet, исследователь безопасности обнаружил уязвимость в плазме и опубликовал доказательство концепции, использующей существующий недостаток безопасности в KDE Framework. На данный момент нет никакого решения, кроме временного в виде прогноза, который сообщество KDE опубликовало в Twitter.
Первое есть первое. Прежде чем продолжить статью, мы должны сказать, что KDE уже работает над исправлением недавно обнаруженной уязвимости безопасности. Еще более важным, чем знание того, что они работают над устранением неисправности, является временное решение, которое они предлагают нам: что Нам НЕ нужно загружать файлы с расширением .desktop или .directory. из ненадежных источников. Короче говоря, нам не нужно делать то, что мы никогда не должны делать, но на этот раз с большим поводом.
Как работает обнаруженная уязвимость Plasma
Проблема в том, как KDesktopFile обрабатывает упомянутые файлы .desktop и .directory. Было обнаружено, что файлы .desktop и .directory могут быть созданы с помощью вредоносный код, который может быть использован для запуска такого кода на компьютере жертвы. Когда пользователь Plasma открывает файловый менеджер KDE для доступа к каталогу, в котором хранятся эти файлы, вредоносный код запускается без вмешательства пользователя.
С технической стороны уязвимость может использоваться для хранения команд оболочки в стандартных записях «Иконка» в файлах .desktop и .directory. Тот, кто обнаружил ошибку, говорит, что KDE «выполнит нашу команду всякий раз, когда файл будет виден».
Указанная ошибка низкой степени серьезности - необходимо использовать социальную инженерию
Эксперты по безопасности они не классифицируют сбой как очень серьезный, главным образом потому, что мы должны заставить нас загрузить файл на наш компьютер. Они не могут классифицировать это как серьезное, потому что файлы .desktop и .directory очень редки, то есть для нас не является нормальным загружать их через Интернет. Имея это в виду, они должны обманом заставить нас загрузить файл с вредоносным кодом, необходимым для использования этой уязвимости.
Чтобы оценить все возможности, злонамеренный пользователь может сжать файлы в ZIP или TAR И когда мы разархивировали его и просмотрели содержимое, вредоносный код запускался незаметно для нас. Кроме того, эксплойт можно использовать для загрузки файла в нашу систему без нашего взаимодействия с ним.
Кто открыл фаллос, Пеннер не сказал сообществу KDE потому что "В основном я просто хотел оставить 0day до Defcon. Я планирую сообщить об этом, но проблема скорее в недостатке дизайна, чем в реальной уязвимости, несмотря на то, что она может сделать.«. С другой стороны, сообщество KDE, что неудивительно, не очень обрадовалось тому, что ошибка была опубликована до того, как им сообщили, но они просто сказали, что «Мы были бы признательны, если бы вы могли связаться с security@kde.org перед тем, как опубликовать эксплойт, чтобы мы вместе приняли решение о сроках.».
Уязвимая Plasma 5 и KDE 4
Те из вас, кто плохо знаком с KDE, знают, что графическая среда называется Plasma, но так было не всегда. Первые три версии назывались KDE, а четвертая - KDE Software Compilation 4. Отдельное название, уязвимые версии - KDE 4 и Plasma 5. Пятая версия была выпущена в 2014 году, поэтому кому-либо трудно использовать KDE 4.
В любом случае и ожидая, пока сообщество KDE выпустит патч, над которым они уже работают, на данный момент не доверяйте никому, кто отправляет вам файл .desktop или .directory. Это то, что мы всегда должны делать, но теперь с большим основанием. Я доверяю сообществу KDE и что через несколько дней все будет решено.
