Forscher der Firma Aqua Security haben die Möglichkeit einer Attacke auf Nutzer der Ubuntu-Distribution aufmerksam gemacht, indem sie die Besonderheiten der Implementierung des "command-not-found"-Handlers nutzen, der einen Hinweis ausgibt, wenn versucht wird, ein nicht im System vorhandenes Programm zu starten. Das Problem ist, dass der "command-not-found"-Handler bei der Bewertung der ausgeführten Befehle, die im System fehlen, nicht nur Pakete aus den offiziellen Repositories verwendet, sondern auch Snap-Pakete aus dem Verzeichnis snapcraft.io.
Bei der Erstellung von Empfehlungen auf Basis des Inhalts des Verzeichnisses snapcraft.io berücksichtigt der "command-not-found"-Handler nicht den Status des Pakets und erfasst Pakete, die von nicht verifiziertem Benutzern zum Verzeichnis hinzugefügt wurden. Daher kann ein Angreifer ein Paket mit bösartigem Inhalt und einem Namen, der mit existierenden DEB-Paketen übereinstimmt, im snapcraft.io veröffentlichen, das ursprünglich nicht im Repository vorhanden ist, oder mit gefälschten Anwendungen, deren Namen typische Tippfehler und Fehler der Benutzer bei der Eingabe gängiger Tools widerspiegeln.
Beispielsweise könnten die Pakete "tracert" und "tcpdamp" veröffentlicht werden, in der Annahme, dass der Benutzer bei der Eingabe der Namen der Tools "traceroute" und "tcpdump" einen Fehler macht, und der "command-not-found"-Handler dann empfiehlt, aus snapcraft.io die bösartigen Pakete des Angreifers zu installieren. Der Benutzer könnte den Betrug nicht bemerken und annehmen, dass das System nur verifizierte Pakete empfiehlt. Der Angreifer könnte auch ein Paket im snapcraft.io platzieren, dessen Name mit bestehenden deb-Paketen übereinstimmt, und in diesem Fall gibt der "command-not-found"-Handler zwei Installationsempfehlungen für deb und snap aus, wobei der Benutzer möglicherweise snap auswählt, weil er es als sicherer erachtet oder von einer neueren Version angelockt wird.
Snap-Anwendungen, für die in snapcraft.io eine automatische Überprüfung erlaubt ist, können nur in einer isolierten Umgebung ausgeführt werden (Snap-Pakete ohne Isolierung werden nur nach manueller Überprüfung veröffentlicht). Es könnte für den Angreifer ausreichend sein, sich in einer isolierten Umgebung mit Internetzugang zu bewegen, beispielsweise für das Mining von Kryptowährungen, für DDoS-Angriffe oder zum Versenden von Spam.
Ein Angreifer kann auch in bösartigen Paketen Methoden zum Umgehen der Isolation nutzen, wie die Ausnutzung ungepatchter Schwachstellen im Kernel und in den Mechanismen zur Gewährleistung der Isolation, das Einbinden von Snap-Interfaces für den Zugriff auf externe Ressourcen (zum heimlichen Aufzeichnen von Ton und Video) oder das Abfangen von Tastatureingaben bei Verwendung des X11-Protokolls (um Keylogger zu erstellen, die in einer Sandbox-Umgebung arbeiten).
Quelle: opennet.ru
