Ko govorimo o plazmi, vsaj enem strežniku, to storimo, da povemo o vseh prednostih, ki nam jih ponujajo čudovite, tekoče in polne možnosti namizja KDE, danes pa moramo sporočiti manj dobrih novic. Kot je bilo zbrano v ZDNet, je raziskovalec varnosti odkril ranljivost v plazmi in objavil dokaz koncepta, ki izkorišča obstoječo varnostno napako v okviru KDE. Trenutno ni na voljo nobene druge rešitve, razen začasne v obliki napovedi, ki jo je Skupnost KDE objavila na Twitterju.
Prvi je prvi. Pred nadaljevanjem članka moramo povedati, da si KDE že prizadeva odpraviti nedavno odkrito varnostno napako. Še pomembnejša od vedenja, da si prizadevajo za odpravo okvare, je začasna rešitev, ki nam jo ponujajo: kaj NI NAM treba prenesti datotek s pripono .desktop ali .directory iz nezanesljivih virov. Skratka, ni nam treba storiti nekaj, česar ne bi smeli nikoli, a tokrat z več razlogov.
Kako deluje odkrita ranljivost plazme
Težava je v tem, kako KDesktopFile obravnava omenjene datoteke .desktop in .directory. Ugotovljeno je bilo, da lahko datoteke .desktop in .directory ustvarjamo z zlonamerno kodo, ki bi jo lahko uporabili za zagon takšne kode v računalniku žrtve. Ko uporabnik plazme odpre upravitelj datotek KDE za dostop do imenika, v katerem so te datoteke, se zlonamerna koda zažene brez interakcije uporabnika.
Na tehnični strani ranljivost se lahko uporablja za shranjevanje ukazov lupine znotraj standardnih vnosov "Ikona" v datotekah .desktop in .directory. Kdor je odkril napako, pravi, da KDE «bo naš ukaz izvedel vsakič, ko bo prikazana datoteka".
Napaka z nizko stopnjo resnosti - uporabiti je treba socialni inženiring
Strokovnjaki za varnost neuspeha ne uvrščajo med zelo resne, predvsem zato, ker nas mora prisiliti, da prenesemo datoteko v svoj računalnik. Ne morejo ga uvrstiti med resne, ker so datoteke .desktop in .directory zelo redke, to pomeni, da ni normalno, da jih prenesemo prek interneta. S tem v mislih naj bi nas prevarali, da prenesemo datoteko z zlonamerno kodo, potrebno za izkoriščanje te ranljivosti.
Za oceno vseh možnosti je zlonamerni uporabnik lahko datoteke stisne v ZIP ali TAR In ko smo jo razpakirali in si ogledali vsebino, se je zlonamerna koda zagnala, ne da bi to opazili. Poleg tega je bilo mogoče uporabiti datoteko za prenos datoteke v naš sistem, ne da bi z njo komunicirali.
Kdo je odkril falus, Penner, ni povedal skupnosti KDE Ker "V glavnem sem hotel le 0 dni pred Defconom. Načrtujem, da ga prijavim, vendar je težava bolj kot napaka pri oblikovanju kot dejanska ranljivost, kljub temu, kar lahko naredi«. Po drugi strani pa Skupnost KDE ni presenetljivo, da je bila napaka objavljena še preden jo sporočijo, vendar so se omejili na to, da «Hvaležni bi bili, če bi se obrnili na security@kde.org, preden bi javno objavili podvig, da bi se lahko skupaj odločili o časovni osi".
Ranljiva plazma 5 in KDE 4
Tisti, ki ste novi v KDE, veste, da se grafično okolje imenuje plazma, vendar ni bilo vedno tako. Prve tri različice so se imenovale KDE, četrta pa KDE Software Compilation 4. Ločeno ime, ranljivi različici sta KDE 4 in Plasma 5. Peta različica je izšla leta 2014, zato težko uporablja kdo KDE 4.
V vsakem primeru in čakanje, da Skupnost KDE trenutno objavi popravek, na katerem že delajo ne zaupajte nikomur, ki vam pošlje datoteko .desktop ali .directory. To moramo vedno početi, zdaj pa z več razlogov. Zaupam skupnosti KDE in da bo v nekaj dneh vse rešeno.
