Les résultats de l'expérience de prise de contrÎle des paquets dans le dépÎt AUR (Arch User Repository), utilisé pour la distribution de paquets par des développeurs tiers sans inclusion dans les dépÎts principaux de la distribution Arch Linux, ont été publiés. Les chercheurs ont préparé un script vérifiant l'expiration des enregistrements de domaines figurant dans les fichiers PKGBUILD et SRCINFO. Lors de l'exécution de ce script, 14 domaines expirés ont été identifiés, utilisés dans 20 paquets pour le téléchargement de fichiers.
Simple enregistrement de domaine n'est pas suffisant pour substituer un paquet, car le contenu tĂ©lĂ©chargĂ© est vĂ©rifiĂ© par la somme de contrĂŽle dĂ©jĂ chargĂ©e dans l'AUR. Cependant, il s'est avĂ©rĂ© que prĂšs de 35 % des paquets dans l'AUR utilisent le paramĂštre « SKIP » dans le fichier PKGBUILD pour ignorer la vĂ©rification de la somme de contrĂŽle (par exemple, sha256sums=(âSKIPâ)). Parmi les 20 paquets avec des domaines expirĂ©s, le paramĂštre SKIP a Ă©tĂ© utilisĂ© dans 4.
Pour démontrer la possibilité d'attaque, les chercheurs ont acheté le domaine de l'un des paquets ne vérifiant pas les sommes de contrÎle et y ont placé une archive de code et un script d'installation modifié. Au lieu du contenu réel, le script a ajouté un message d'avertissement sur l'exécution de code tiers. La tentative d'installation du paquet entraßnait le téléchargement de fichiers manipulés et, comme la somme de contrÎle n'était pas vérifiée, aboutissait à l'installation réussie et à l'exécution du code ajouté par les expérimentateurs.
Les paquets, dont les domaines associés au code se sont révélés expirés :
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Source : opennet.ru
