Avaldatud on katse tulemused pakettide kontrolli haaramiseks AUR (Arch User Repository) hoidlas, mida kasutatakse teise osapoole arendatud pakettide levitamiseks ilma Arch Linuxi põhihoidlatesse lisamata. Uurijad koostasid skripti, mis kontrollib domeenide registreerimise kehtivuse lõppu, mis esinevad PKGBUILD ja SRCINFO failides. Skripti käivitamisel leiti 14 aegunud domeeni, mis on kasutusel 20 paketti failide allalaadimiseks.
Lihtne domeeni registreerimine ei piisa paketi asendamiseks, kuna allalaaditav sisu kontrollitakse AUR-is juba üles laaditud kontrollsummaga. Siiski selgus, et umbes 35% AUR-i pakettidest kasutavad PKGBUILD failis parameetrit "SKIP" kontrollsummade kontrollimise vahelejätmiseks (näiteks on mõnes küsimuses sha256sums=(‘SKIP’)). 20 paketti, millel on aegunud domeenid, kasutati parameetrit SKIP 4.
Rünnaku võimaluse demonstreerimiseks ostsid uurijad ühe paketi domeeni, mis ei kontrolli kontrollsummasid, ja paigaldasid sinna arhiivi koos koodiga ja muudetud installiskriptiga. Tegeliku sisu asemel lisati skripti teade kolmanda osapoole koodi käitamise kohta. Paketi installimise katse viis vale failide allalaadimiseni ja kuna kontrollsummat ei kontrollitud, toimus edukas installimine ja käivitamine uurijate lisatud koodile.
Pakettide domeenid, mille kood on aegunud:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Allikas: opennet.ru
