Juhtum KDE teema kasutajafailide kustutamisega

KDE projekt on soovitanud mitte installida mitteametlikke globaalseid teemasid ja vidinaid KDE jaoks pärast juhtumit, mille käigus kustutati kõik isiklikud failid kasutajalt, kes installis KDE poest halli paigutuse teema (umbes 4000 allalaadimist). Arvatakse, et intsidendi põhjuseks ei olnud pahatahtlik kavatsus, vaid viga, mis on seotud käsu "rm -rf" ebaturvalise kasutamisega.

KDE globaalsed teemad võimaldavad kasutada plasmoide, mis käitavad suvalisi käske, mida saab muu hulgas kasutada failide kustutamiseks. Kui kasutate koodis selliseid konstruktsioone nagu "rm -rf $VAR/*", võib tekkida olukord, kui muutuja $VAR initsialiseerimata, mis viib käsu "rm -rf /*" tegeliku täitmiseni. Varem ilmnesid sarnased vead Squidi, Steami ja Bumblebee initsialiseerimisskriptides.

Juhtum on seotud PlasmaConfSaveri vidina helistamiskoodiga, mis sisaldab skripti save.sh, mis kustutab viimasest installist alles jäänud vanad konfiguratsioonifailid. Failid kustutatakse käsuga “rm -Rf “$configFolder”, hoolimata sellest, et kood ei kontrolli muutuja $configFolder seadistust, mille väärtus edastatakse käsurea argumendi kaudu (“configFolder=$2”). . Kood oli algselt mõeldud kasutamiseks KDE 5-s, kuid muudatuste tõttu KDE 6-s võib töötlejate kutsumise loogika puruneda ja muutuja tulemuseks on väärtus, mis kustutab kõik kasutajaandmed (näiteks selle asemel, et käivitada " sh save.sh somepath/ ..." oleks võinud käivitada kood "sh save.sh somepath / ...", mille tulemuseks on muutujas configFolder väärtus "/".

KDE arendajad kavatsevad auditeerida KDE poe kataloogi postitatud kolmandate osapoolte teemasid, et tuvastada sarnased vead, ning korraldada ka hoiatusi kolmandate osapoolte kasutajate postitatud teemade installimisel. Lisaks arutatakse KDE poes hostitavate projektide eelsõelumise juurutamise küsimust, et võidelda teemade sihipärase paigutuse vastu ründajate poolt, mille eesmärk on sooritada pahatahtlikke toiminguid, nagu tundlike andmete varastamine ja protsesside käivitamine, et petta krüptorahakoti numbreid. lõikelaud.

Tavaliselt ei eelda paljud kasutajad, et teema installimisel võidakse koodi käivitada, mistõttu ei pööra nad teemade installimisel turvalisusele piisavalt tähelepanu. Globaalsed teemad ei mõjuta mitte ainult välimust, vaid muudavad ka Plasma käitumist ning võivad sisaldada oma ekraanilukkude ja aplettide teostusi, st. komponendid, mis koodi käivitavad. Ressursipuuduse tõttu ei kontrollita KDE poe kataloogi postitatud projekte mingil viisil ja need paigutatakse ainult usalduse alusel, hoolimata sellest, et kataloogis saab registreeruda igaüks.

Allikas: opennet.ru