Avalikud on eksperimendi tulemused AUR (Arch User Repository) pakettide üle kontrolli saamise kohta, mida kasutatakse kolmandate osapoolte pakettide levitamiseks ilma Arch Linuxi jaotuse põhirepositoori tõmbamiseta. Uurijad koostasid skripti, mis kontrollib domeenide registreerimise aegumist, mis on esitatud PKGBUILD ja SRCINFO failides. Selle skripti käivitamisel avastati 14 aegunud domeeni, mida kasutatakse 20 paketi failide allalaadimiseks.
Lihtne domeeni registreerimine ei ole piisav paketi asendamiseks, kuna allalaaditavad andmed kontrollitakse juba AUR-is üles laaditud kontrollsummade järgi. Siiski selgus, et umbes 35% AUR-i pakettidest kasutab PKGBUILD failis "SKIP" parameetrit kontrollsummade ülevaate vahele jätmiseks (näiteks sha256sums=(‘SKIP’)). 20 aegunud domeeniga paketist kasutati SKIP parameetrit 4-l.
Rünnaku võimaluse demonstreerimiseks ostsid uurijad ühe paketi domeeni, mis ei kontrollinud kontrollsummasid, ja paigaldasid sellele arhiivi koodi ning muudetud installatsiooniskeemi. Tegeliku sisu asemel lisati skripti hoiatus välistatud koodi täitmise kohta. Paketiga installimise katse viis peidetud failide allalaadimise ja kuna kontrollsumma ei kontrollitud, toimus lisatud eksperimenteerija koodi edukas installimine ja käivitamine.
Pakettide, domeenid, mille kood on aegunud:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Allikas: opennet.ru
