Resultaterne af eksperimentet om kontrol med pakker i AUR (Arch User Repository), som anvendes til distribution af pakker af tredjepartsudviklere uden at inkludere dem i de primære arkiver i Arch Linux-distributionen, er offentliggjort. Forskerne forberedte et script, der kontrollerer udløbet af domænenavne, der indgår i PKGBUILD- og SRCINFO-filer. Under kørsel af dette script blev 14 udløbne domæner identificeret, der bruges i 20 pakker til at hente filer.
Simpel domæneregistrering er ikke tilstrækkelig til at erstatte en pakke, da det indhold, der hentes, verificeres med den allerede uploadede kontrolsum i AUR. Det viste sig dog, at omkring 35% af pakkerne i AUR bruger parameteren 'SKIP' i PKGBUILD-filen for at springe kontrolsummen over (for eksempel angiver de sha256sums=(‘SKIP’)). Af de 20 pakker med udløbne domæner blev parameteren SKIP brugt i 4.
For at demonstrere muligheden for at udføre et angreb købte forskerne et domæne fra en af pakkerne, der ikke kontrollerede kontrolsummen, og hostede et arkiv med koden og det ændrede installationsscript. I stedet for det faktiske indhold blev der tilføjet en besked i scriptet, der advarede om udførelsen af tredjeparts kode. Forsøget på at installere pakken førte til download af ændrede filer, og da kontrolsummen ikke blev kontrolleret, blev den tilføjede kodes installation og kørsel vellykket.
Pakker, hvis domæner med kode viste sig at være udløbne:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Kilde: opennet.ru
