在談到Plasma（至少一台服務器）時，我們用它來講述美麗，流暢和完整的KDE桌面選項為我們帶來的所有好處，但是今天我們不得不少講些好消息了。 如收集在 網易科技，一位安全研究員 在Plasma中發現一個漏洞 並發布了利用KDE框架中現有安全漏洞的概念證明。 目前，除了KDE社區已在Twitter上發布的預測形式的臨時解決方案之外，目前沒有可用的解決方案。
第一是第一。 在繼續本文之前，我們必須說KDE已經在努力解決最近發現的安全漏洞。 比知道他們正在努力解決故障更重要的是，他們為我們提供了臨時解決方案： 我們不必下載帶有.desktop或.directory擴展名的文件 來自不可靠的來源。 簡而言之，我們不必做一些我們不應該做的事情，但是這次是有更多理由的。
發現的等離子漏洞如何工作
問題在於KDesktopFile如何處理提到的.desktop和.directory文件。 發現可以使用以下命令創建.desktop和.directory文件： 可用於在計算機上運行此類代碼的惡意代碼 受害者。 當Plasma用戶打開KDE文件管理器以訪問這些文件的存儲目錄時，惡意代碼將在沒有用戶交互的情況下運行。
在技術方面，脆弱性 可以用來存儲shell命令 在.desktop和.directory文件中找到的標準“ Icon”條目中。 凡發現此錯誤的人都說KDE«只要看到文件，就會執行我們的命令“。
低嚴重性列出的錯誤-必須使用社交工程
安全專家 他們沒有將失敗歸為非常嚴重，主要是因為我們必須讓我們將文件下載到計算機上。 他們無法將其歸類為嚴重的，因為.desktop和.directory文件非常少見，也就是說，我們通過Internet下載它們是不正常的。 考慮到這一點，他們應該誘使我們下載帶有利用此漏洞所需的惡意代碼的文件。
為了評估所有可能性， 惡意用戶可能會壓縮ZIP或TAR中的文件 當我們將其解壓縮並查看內容時，惡意代碼將在沒有我們注意的情況下運行。 此外，該漏洞可以被用來將文件下載到我們的系統上，而無需我們與之交互。
誰發現了陰莖， Penner，沒有告訴KDE社區 因為 ”主要是我只想在Defcon之前離開0天。 我打算報告此問題，但是儘管它可以做什麼，但問題更多的是設計缺陷，而不是實際的漏洞。«。 另一方面，毫無疑問，KDE社區並不很高興在將錯誤傳達給他們之前就發布了一個錯誤，但是他們只限於說«如果您可以在向公眾發布安全漏洞之前與我們聯繫security@kde.org，以便我們可以在時間表上共同做出決定，我們將不勝感激。“。
脆弱等離子5和KDE 4
那些剛接觸KDE的人都知道圖形環境稱為Plasma，但並非總是那樣。 前三個版本稱為KDE，而第四個版本稱為KDE軟件編譯4。 易受攻擊的版本是KDE 4和Plasma 5。 第五版於2014年發布，因此任何人都很難使用KDE 4。
無論如何，暫時等待KDE社區發布他們已經在處理的補丁程序 不要相信向您發送.desktop或.directory文件的任何人。 這是我們必須始終做的事情，但是現在有了更多的理由。 我相信KDE社區，幾天之內一切都會解決。
