Експериментирайте, за да получите контрол над пакетите в AUR хранилището

Публикувани са резултатите от експеримент за изземване на контрол върху пакети в хранилището на AUR (Arch User Repository), използвано за разпространение от външни разработчици на техните пакети без включване в основните хранилища на дистрибуцията на Arch Linux. Изследователите подготвиха скрипт, който проверява изтичането на регистрациите на домейни, появяващи се във файловете PKGBUILD и SRCINFO. При стартиране на този скрипт бяха идентифицирани 14 изтекли домейна, използвани в 20 пакета за изтегляне на файлове.

Простото регистриране на домейн не е достатъчно за подправяне на пакет, тъй като изтегленото съдържание се проверява спрямо контролната сума, която вече е заредена в AUR. Оказва се обаче, че поддържащите около 35% от пакетите в AUR използват параметъра „SKIP“ във файла PKGBUILD, за да пропуснат проверката на контролната сума (например, посочете sha256sums=('SKIP')). От 20 пакета с изтекли домейни параметърът SKIP е използван в 4.

За да демонстрират възможността за извършване на атака, изследователите закупиха домейна на един от пакетите, който не проверява контролни суми и поставиха архив с кода и модифициран инсталационен скрипт върху него. Вместо действителното съдържание към скрипта беше добавено предупредително съобщение за изпълнението на код на трета страна. Опитът за инсталиране на пакета доведе до изтегляне на заместени файлове и, тъй като контролната сума не беше проверена, до успешна инсталация и стартиране на кода, добавен от експериментаторите.

Пакети, чиито домейни с код са изтекли:

• firefox-вакуум
• gvim-контролен път
• wine-pixi2
• xcursor-тема-wii
• без светлинни зони
• scalafmt-роден
• coolq-pro-bin
• gmedit-bin
• mesen-s-bin
• поли-б-изчезна
• erwiz
• totd
• kygekteampmmp4
• servicewall-git
• amuletml-bin
• etherdump
• кошче за дрямка
• iscfpc
• iscfpc-aarch64
• iscfpcx

Източник: opennet.ru