Keď mluvíme o plazmě, aspoň jednom serveri, robíme to preto, aby sme povedali o všetkých výhodách, ktoré nám ponúkajú krásne, plynulé a plné možnosti desktopu KDE, ale dnes musíme dať menej dobrých správ. Ako sa zhromažďuje v ZDNet, má bezpečnostný výskumník zistili zraniteľnosť v plazme a zverejnil dôkaz o koncepcii využívajúcej existujúcu bezpečnostnú chybu v rámci KDE. Momentálne nie je k dispozícii žiadne riešenie, okrem dočasného v podobe predpovede, ktorú zverejnila komunita KDE na Twitteri.
Prvý je prvý. Pred pokračovaním v článku musíme povedať, že KDE už pracuje na odstránení nedávno objavenej bezpečnostnej chyby. Ešte dôležitejšie ako vedieť, že sa snažia zlyhanie vyriešiť, je dočasné riešenie, ktoré nám ponúkajú: čo NEMUSÍME sťahovať súbory s príponou .desktop alebo .directory z nespoľahlivých zdrojov. Stručne povedané, nemusíme robiť niečo, čo by sme nikdy nemali robiť, ale tentokrát z viacerých dôvodov.
Ako funguje zistená zraniteľnosť plazmy
Problém je v tom, ako KDesktopFile narába so spomínanými súbormi .desktop a .directory. Zistilo sa, že súbory .desktop a .directory je možné vytvoriť pomocou škodlivý kód, ktorý by sa mohol použiť na spustenie tohto kódu v počítači obete. Keď užívateľ plazmy otvorí správcu súborov KDE, aby získal prístup k adresáru, kde sú tieto súbory uložené, škodlivý kód sa spustí bez zásahu používateľa.
Po technickej stránke zraniteľnosť možno použiť na uloženie príkazov shellu v rámci štandardných položiek „Ikona“, ktoré sa nachádzajú v súboroch .desktop a .directory. Ktokoľvek objavil chybu, hovorí, že KDE «vykoná náš príkaz vždy, keď je súbor videný".
Uvedená chyba nízkej závažnosti - musí sa použiť sociálne inžinierstvo
Bezpečnostní experti zlyhanie neklasifikujú ako veľmi závažné, hlavne preto, že nás musíme prinútiť, aby sme si súbor stiahli do nášho počítača. Nemôžu to klasifikovať ako vážne, pretože súbory .desktop a .directory sú veľmi zriedkavé, to znamená, že nie je bežné, aby sme ich sťahovali cez internet. V tejto súvislosti nás majú oklamať, aby sme stiahli súbor so škodlivým kódom nevyhnutným na zneužitie tejto chyby zabezpečenia.
Na posúdenie všetkých možností nebezpečný používateľ môže súbory skomprimovať do formátu ZIP alebo TAR A keď sme ho rozbalili a prezerali si obsah, škodlivý kód by bežal bez nášho všimnutia. Okrem toho bolo možné zneužitie využiť na stiahnutie súboru do nášho systému bez toho, aby sme s ním interagovali.
Kto objavil falus, Penner, nepovedal to komunite KDE pretože “Hlavne som chcel odísť 0 dní pred Defcon. Plánujem to nahlásiť, ale napriek tomu, že ide o problém, ide skôr o chybu v dizajne ako o skutočnú zraniteľnosť«. Na druhej strane, komunita KDE, neprekvapivo, nebola veľmi šťastná, že bola chyba zverejnená skôr, ako im bola oznámená, ale jednoducho povedali, že «Ocenili by sme, keby ste mohli kontaktovať security@kde.org pred spustením exploitu pre verejnosť, aby sme sa mohli rozhodnúť spoločne na časovej osi.".
Zraniteľná plazma 5 a KDE 4
Tí, ktorí ste v KDE nováčikom, viete, že grafické prostredie sa volá Plasma, ale nebolo to vždy tak. Prvé tri verzie sa nazývali KDE, zatiaľ čo štvrtá sa volala KDE Software Compilation 4. Samostatný názov, zraniteľné verzie sú KDE 4 a Plasma 5. Piata verzia bola vydaná v roku 2014, takže je pre každého ťažké používať KDE 4.
V každom prípade a čakajúc na to, kým KDE Community vydá patch, na ktorom už teraz pracujú neverte nikomu, kto vám pošle súbor .desktop alebo .directory. To je vec, ktorú musíme robiť vždy, ale teraz s ďalšími dôvodmi. Verím komunite KDE a že za pár dní sa všetko vyrieši.
