iVentoy's tuvastatakse juursertifikaadi asendamine Windowsi käivitamisel.

iVentoy tööriistakogus, mida kasutatakse erinevate operatsioonisüsteemide võrgu kaudu laadimiseks ja installimiseks, on avastatud kahtlane tegevus. Windowsi võrgu kaudu laadimise käigus tegi tööriist süsteemis binäärse draiveri httpdisk.sys asendamise ning paigaldas oma iseallkirjastatud sertifikaadi süsteemi juurdsertifikaatide ladustamisse, mida kasutati draiveri digitaalallkirjastamiseks. 31 70-st viirusetõrje pakettidest, kus faili httpdisk.sys kontrolliti, andis hoiatusi pahavara olemasolu kohta.

Sellist tegevust tõlgendati potentsiaalse katse edendada tagauksed ning see tõi esile usaldusprobleemi avatud projekti Ventoy osas. Situatsiooni süvendas asjaolu, et eelmisel aastal pärast tagaukse intsidenti projektis XZ oli kogukond juba pööranud tähelepanu kahtlaste blobide tarnimisele Ventoy lähtekoodide puusse.

NixOS arendajad on soovitanud asendada Ventoy nixpkgs hoidlas forkiga fnr1r (alternatiivina võib kaaluda ka glim). Projektid Ventoy ja iVentoy on arendanud sama autor ning nende eesmärk on sarnane. Erinevused seisnevad selles, et Ventoy on täielikult avatud ja suunatud operatsioonisüsteemide laadimisele USB-mäluseadmetelt, samas kui iVentoy on vaid osaliselt avatud ja mõeldud võrgu kaudu PXE tehnoloogia abil laadimiseks.

Probleemi arutelu on liitunud Ventoy ja iVentoy projektide autor, kes selgitas, et draiveri httpdisk.sys kood on avatud ning see draiver on mõeldud Windowsi diskipiltide mountimiseks võrgu kaudu HTTP protokolli üle, mida kasutatakse iVentoy installatsioonide saamiseks. serverilt Draiverite ja skriptide süsteemi ülekandmine pärast laadimist on dokumenteeritud käitumine.

Omandatud sertifikaat, millega see draiver allkirjastati, lisati juuresertifikaatide ladustamisse, et võimaldada draiveri laadimist Windowsi süsteemi digitaalallkirjade kontrollimise ümber. Sertifikaati kasutati ainult ühekordses WinPE (Windows Preinstallation Environment) keskkonnas, mis loodi mälus. Kettale installitud Windowsi versioonides muudatusi ei tehtud. On teatatud, et järgmises väljaandes iVentoy lõpetatakse enda sertifikaadi asendamine, kuna draiveri laadimise tagamiseks kasutatakse WinPE käivitamist testrežiimis.

Seoses blobide (1, 2, 3) tarnimisega Ventoy teatas arendaja, et need binaarfailid on otse saadud teistest avatud projektidest ja Ventoy kasutab neid ilma muudatusteta. Valminud täitmisfailid kasutatakse käivitatavate süsteemide seadistamisprotsessis. Alternatiivina soovitatakse mitte võtta valmis versioone, vaid koostada need Ventoy väljaannete jaoks iseseisvalt GitHub CI abil.

Allikas: opennet.ru