Byly zveřejněny výsledky experimentu o převzetí kontroly nad balíčky v repozitáři AUR (Arch User Repository), který se používá pro distribuci balíčků od třetích stran bez zařazení do hlavních repozitářů distribuce Arch Linux. Výzkumníci připravili skript, který kontroluje expiraci registrace domén obsažených v souborech PKGBUILD a SRCINFO. Při spuštění tohoto skriptu bylo nalezeno 14 expirovaných domén používaných ve 20 balíčcích pro stahování souborů.
Jednoduchý registrace domény není dostatečná pro výměnu balíčku, protože stahovaný obsah se ověřuje podle již nahrané kontrolní součtě v AUR. Nicméně se ukázalo, že přibližně 35 % balíčků v AUR používá v souboru PKGBUILD parametr „SKIP“ pro vynechání kontroly kontrolní součtu (například uvádějí sha256sums=(‘SKIP’)). Z 20 balíčků s expirovanými doménami byl parametr SKIP použit ve 4.
Pro demonstrování možnosti provedení útoku výzkumníci zakoupili doménu jednoho z balíčků, které nekontrolují kontrolní součty, a umístili na ní archív s kódem a změněný instalační skript. Místo skutečného obsahu byl do skriptu přidán výstup varování o provádění cizího kódu. Pokus o instalaci balíčku vedl k načtení zfalšovaných souborů a, protože kontrolní součet nebyl ověřován, k úspěšné instalaci a spuštění kódu přidaného experimentátory.
Balíčky, jejichž domény s kódem byly expirovány:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Zdroj: opennet.ru
