Avaldatud on katse tulemused pakettide kontrolli haaramiseks AUR (Arch User Repository) hoidlas, mida kasutatakse teise osapoole arendatud pakettide levitamiseks ilma Arch Linuxi pÔhihoidlatesse lisamata. Uurijad koostasid skripti, mis kontrollib domeenide registreerimise kehtivuse lÔppu, mis esinevad PKGBUILD ja SRCINFO failides. Skripti kÀivitamisel leiti 14 aegunud domeeni, mis on kasutusel 20 paketti failide allalaadimiseks.
Lihtne domeeni registreerimine ei piisa paketi asendamiseks, kuna allalaaditav sisu kontrollitakse AUR-is juba ĂŒles laaditud kontrollsummaga. Siiski selgus, et umbes 35% AUR-i pakettidest kasutavad PKGBUILD failis parameetrit "SKIP" kontrollsummade kontrollimise vahelejĂ€tmiseks (nĂ€iteks on mĂ”nes kĂŒsimuses sha256sums=(âSKIPâ)). 20 paketti, millel on aegunud domeenid, kasutati parameetrit SKIP 4.
RĂŒnnaku vĂ”imaluse demonstreerimiseks ostsid uurijad ĂŒhe paketi domeeni, mis ei kontrolli kontrollsummasid, ja paigaldasid sinna arhiivi koos koodiga ja muudetud installiskriptiga. Tegeliku sisu asemel lisati skripti teade kolmanda osapoole koodi kĂ€itamise kohta. Paketi installimise katse viis vale failide allalaadimiseni ja kuna kontrollsummat ei kontrollitud, toimus edukas installimine ja kĂ€ivitamine uurijate lisatud koodile.
Pakettide domeenid, mille kood on aegunud:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Allikas: opennet.ru
