Сценарий на атака на обработчика на неустановени приложения в Ubuntu.

Изследователи от компания Aqua Security обърнаха внимание на възможността за атака на потребителите на дистрибуцията Ubuntu, използвайки особеностите на реализирането на обработчика «command-not-found», който дава подсказка при опит за стартиране на несъществуваща в системата програма. Проблемът е, че при оценката на стартираните команди, които не са налични в системата, «command-not-found» използва не само пакети от стандартните репозитории, но и snap-пакети от каталога snapcraft.io.

При формирането на препоръки въз основа на съдържанието на каталога snapcraft.io, обработчикът «command-not-found» не взима предвид статуса на пакета и обхваща пакети, добавени в каталога от непроверени потребители. По този начин атакуващият може да публикува в snapcraft.io пакет със скрито злонамерено съдържание и име, което съвпада с вече съществуващите DEB-пакети, първоначално отсъстващи в репозитория, или фиктивни приложения, имена на които отразяват типични правописни грешки и грешки на потребителите при въвеждането на имената на популярни утилити.

Например, може да бъдат публикувани пакети «tracert» и «tcpdamp» с очакването, че потребителят ще направи грешка при въвеждането на имената на утилитите «traceroute» и «tcpdump», и «command-not-found» ще препоръча инсталирането на злонамерените пакети, публикувани в snapcraft.io. Потребителят може да не забележи капана и да мисли, че системата препоръчва само проверени пакети. Атакуващият може също така да публикува в snapcraft.io пакет, чието име съвпада с вече съществуващи deb-пакети, и в този случай «command-not-found» ще даде две препоръки за инсталиране на deb и snap, а потребителят може да избере snap, считайки го за по-защитен или подлъган от по-новата версия.

Приложенията във формата snap, за които в snapcraft.io е разрешено автоматично рецензиране, могат да се изпълняват само в изолирана среда (snap-пакети без изолация се публикуват само след ръчно рецензиране). На атакуващия може да му е достатъчно да се изпълнява в изолирана среда с достъп до мрежата, например за добив на криптовалути, извършване на DDoS атаки или изпращане на спам.

Нападателят може също да използва методи в злонамерени пакети, за да заобиколи изолацията, като експлоатира непоправени уязвимости в ядрото и механизмите за осигуряване на изолация, активира snap-интерфейси за достъп до външни ресурси (за скрито записване на звук и видео) или захваща входа от клавиатурата при използване на протокол X11 (за създаване на кейлоггери, работещи в среда на песен).

Източник: opennet.ru