Die Ergebnisse des Experiments zur Übernahme der Kontrolle über Pakete im AUR (Arch User Repository), das von Drittentwicklern verwendet wird, um ihre Pakete zu verbreiten, ohne in die Hauptrepositories von Arch Linux aufgenommen zu werden, wurden veröffentlicht. Die Forscher haben ein Skript vorbereitet, das die Ablauffrist der Domains überprüft, die in den PKGBUILD- und SRCINFO-Dateien enthalten sind. Bei der Ausführung dieses Skripts wurden 14 abgelaufene Domains identifiziert, die in 20 Paketen zum Herunterladen von Dateien verwendet werden.
Einfach Domainregistrierung reicht nicht aus, um das Paket zu ersetzen, da der Inhalt, der heruntergeladen wird, anhand der bereits im AUR hochgeladenen Prüfziffer überprüft wird. Dennoch stellte sich heraus, dass etwa 35 % der Pakete im AUR im PKGBUILD-Datei-Parameter „SKIP“ verwenden, um die Überprüfung der Prüfziffer zu umgehen (z.B. sha256sums=(‘SKIP’)). Von 20 Paketen mit abgelaufenen Domains wurde der Parameter SKIP in 4 verwendet.
Um die Möglichkeit eines Angriffs zu demonstrieren, kauften die Forscher die Domain eines der Pakete, die keine Prüfziffern überprüfen, und platzierten ein Archiv mit dem Code sowie ein modifiziertes Installationsskript darauf. Anstelle des tatsächlichen Inhalts wurde dem Skript eine Warnmeldung hinzugefügt, die die Ausführung des fremden Codes meldete. Der Versuch, das Paket zu installieren, führte dazu, dass modifizierte Dateien heruntergeladen wurden und, da die Prüfziffer nicht überprüft wurde, zu einer erfolgreichen Installation und Ausführung des von den Experimentatoren hinzugefügten Codes.
Pakete, deren Domains mit Code abgelaufen sind:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Quelle: opennet.ru
