Se han publicado los resultados del experimento sobre la toma de control de paquetes en el repositorio AUR (Arch User Repository), utilizado para la distribución de paquetes por desarrolladores externos sin incluirlos en los repositorios principales de la distribución Arch Linux. Los investigadores prepararon un script que verifica la expiración del registro de dominios presentes en los archivos PKGBUILD y SRCINFO. Al ejecutar este script, se identificaron 14 dominios vencidos usados en 20 paquetes para la descarga de archivos.
Sencillo del registro de dominio no es suficiente para reemplazar un paquete, ya que el contenido descargado se verifica con el hash previamente registrado en AUR. Sin embargo, se descubrió que aproximadamente el 35% de los paquetes en AUR utilizan el parámetro 'SKIP' en el archivo PKGBUILD para omitir la comprobación del hash (por ejemplo, especificando sha256sums=('SKIP')). Del total de 20 paquetes con dominios vencidos, se utilizó el parámetro SKIP en 4.
Para demostrar la posibilidad de llevar a cabo un ataque, los investigadores compraron un dominio de uno de los paquetes que no verifican los hashes y subieron un archivo con el código y un script de instalación modificado. En lugar del contenido real, el script incluyó una advertencia sobre la ejecución de código externo. Intentar instalar el paquete resultaba en la descarga de archivos manipulados y, dado que no se verificaba el hash, se lograba la instalación exitosa y el funcionamiento del código insertado por los experimentadores.
Paquetes cuyos dominios con código han expirado:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Fuente: opennet.ru
