{"id":100603,"date":"2021-06-25T22:22:49","date_gmt":"2021-06-25T20:22:49","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-store-kde-org-i-katalogah-opendesktop"},"modified":"2021-06-25T22:22:49","modified_gmt":"2021-06-25T20:22:49","slug":"uyazvimost-v-store-kde-org-i-katalogah-opendesktop","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-store-kde-org-i-katalogah-opendesktop","title":{"rendered":"Sicherheitsl\u00fccke in store.kde.org und OpenDesktop-Katalogen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In den auf der Pling-Plattform basierenden Anwendungslisten wurde eine Sicherheitsanf\u00e4lligkeit entdeckt, die XSS-Angriffe erm\u00f6glicht, um JavaScript-Code im Kontext anderer Benutzer auszuf\u00fchren. Betroffene Websites sind unter anderem store.kde.org, appimagehub.com, gnome-look.org, xfce-look.org und pling.com. <\/p>\n
Das Problem besteht darin, dass die Plattform Pling das Hinzufügen von Multimedia-Elementen im HTML-Format erlaubt, zum Beispiel zur Einbindung eines YouTube-Videos oder eines Bildes. Der über das Formular hinzugefügte Code wird nicht ordnungsgemäß überprüft, wodurch es möglich wird, den Code in Form eines Bildes hinzuzufügen, beispielsweise «<img src="x" onerror="alert(1)">», und Informationen im Katalog bereitzustellen, deren Ansicht JavaScript-Code auslösen kann. Wenn diese Informationen von Nutzern mit einem Konto geöffnet werden, können im Katalog Aktionen im Namen dieses Nutzers ausgelöst werden, einschließlich der Möglichkeit, einen JavaScript-Aufruf auf seinen Seiten hinzuzufügen, wodurch eine Art Computerwurm realisiert wird. <\/p>\n
Dar\u00fcber hinaus wurde eine Sicherheitsanf\u00e4lligkeit in der PlingStore-Anwendung festgestellt, die mit der Electron-Plattform entwickelt wurde und es erm\u00f6glicht, durch die OpenDesktop-Kataloge ohne Browser zu navigieren und die dort angebotenen Pakete zu installieren. Die Sicherheitsanf\u00e4lligkeit in PlingStore erlaubt es, eigenen Code im System des Benutzers auszuf\u00fchren. W\u00e4hrend der Verwendung der PlingStore-Anwendung wird zus\u00e4tzlich der Prozess ocs-manager gestartet, der lokale Verbindungen \u00fcber WebSocket annimmt und Befehle ausf\u00fchrt, wie das Herunterladen und Starten von Anwendungen im AppImage-Format. Es wird angenommen, dass die Befehle von der PlingStore-Anwendung \u00fcbermittelt werden, doch in der Realit\u00e4t kann aufgrund fehlender Authentifizierung auch ein Request an den ocs-manager aus dem Benutzerbrowser gesendet werden. Wenn der Benutzer eine b\u00f6sartige Website er\u00f6ffnet, kann er eine Verbindung zum ocs-manager initiieren und den Code im System des Benutzers ausf\u00fchren. <\/p>\n
Es wird ebenfalls von einer XSS-Sicherheitsanf\u00e4lligkeit im Verzeichnis extensions.gnome.org berichtet \u2013 im Feld f\u00fcr die URL der Homepage eines Add-Ons kann JavaScript-Code in der Form \u201ejavascript: code\u201c angegeben werden, und beim Klicken auf den Link wird anstelle der \u00d6ffnung der Projektseite der angegebene JavaScript-Code ausgef\u00fchrt. Einerseits handelt es sich hierbei um ein eher hypothetisches Problem, da die Eintragung im Verzeichnis extensions.gnome.org einer Vorab\u00fcberpr\u00fcfung unterliegt und f\u00fcr einen Angriff neben dem \u00d6ffnen einer bestimmten Seite auch ein bewusster Klick auf den Link erforderlich ist. Andererseits ist nicht auszuschlie\u00dfen, dass der Moderator w\u00e4hrend der Pr\u00fcfung auf die Projektseite wechseln m\u00f6chte, dabei die Form des Links \u00fcbersieht und den JavaScript-Code im Kontext seines Kontos ausf\u00fchrt. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"