Публикувани са резултатите от експеримента за захващане на контрол над пакетите в репозитория AUR (Arch User Repository), използван за разпространение на пакети от трети страни без включване в основните репозитории на дистрибуцията Arch Linux. Изследователите подготвиха скрипт, който проверява изтичането на регистрациите на домейни, фигуриращи във файловете PKGBUILD и SRCINFO. При изпълнението на този скрипт бяха открити 14 изтекли домейна, използвани в 20 пакета за сваляне на файлове.
Просто регистрация на домейн не е достатъчна за подмяна на пакета, тъй като съдържанието, което се сваля, се проверява по вече качената в AUR контролна сума. Въпреки това, се оказа, че около 35% от пакетите в AUR използват в файла PKGBUILD параметъра 'SKIP' за пропускане на проверката на контролната сума (например, посочват sha256sums=('SKIP')). От 20 пакета с изтекли домейни параметърът SKIP беше използван в 4.
За демонстрация на възможността за атака изследователите закупиха домейн на един от пакетите, които не проверяват контролни суми, и поставиха на него архив с код и променен инсталационен сценарий. Вместо действителното съдържание в сценария беше добавено предупреждение за изпълнение на страничен код. Опитът за инсталиране на пакета водеше до сваляне на подменени файлове и, тъй като контролна сума не беше проверявана, до успешна инсталация и стартиране на кода, добавен от експериментаторите.
Пакетите, домейните на които са изтекли:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Източник: opennet.ru
