केडीई थीम के साथ उपयोगकर्ता फ़ाइलों को हटाने की घटना

लगभग 4000 डाउनलोड के साथ केडीई स्टोर से ग्रे लेआउट थीम इंस्टॉल करने वाले उपयोगकर्ता की सभी व्यक्तिगत फ़ाइलों को हटाने की घटना के बाद केडीई प्रोजेक्ट ने केडीई के लिए अनौपचारिक वैश्विक थीम और विजेट स्थापित करने के खिलाफ सिफारिश की है। ऐसा माना जाता है कि यह घटना दुर्भावनापूर्ण इरादे से नहीं, बल्कि "आरएम -आरएफ" कमांड के असुरक्षित उपयोग से संबंधित बग के कारण हुई थी।

केडीई वैश्विक थीम मनमाने ढंग से कमांड चलाने वाले प्लास्मोइड का उपयोग करने की क्षमता प्रदान करती है, जिसका उपयोग अन्य चीजों के अलावा फाइलों को हटाने के लिए किया जा सकता है। कोड में "rm -rf $VAR/*" जैसी संरचनाओं का उपयोग करते समय, ऐसी स्थिति उत्पन्न हो सकती है जब $VAR वैरिएबल प्रारंभ नहीं किया जाता है, जिससे "rm -rf /*" कमांड का वास्तविक निष्पादन हो जाएगा। पहले, इसी तरह की त्रुटियाँ स्क्विड, स्टीम और बम्बलबी की आरंभीकरण स्क्रिप्ट में दिखाई दी थीं।

यह घटना प्लाज़्माकॉन्फ़सेवर विजेट से कॉलिंग कोड से जुड़ी है, जिसमें एक save.sh स्क्रिप्ट है जो अंतिम इंस्टॉलेशन से बची हुई पुरानी कॉन्फ़िगरेशन फ़ाइलों को हटा देती है। फ़ाइलें कमांड "rm -Rf "$configFolder" से हटा दी जाती हैं, इस तथ्य के बावजूद कि कोड $configFolder वेरिएबल की सेटिंग की जांच नहीं करता है, जिसका मान कमांड लाइन तर्क ("configFolder=$2") के माध्यम से पारित किया जाता है। . कोड मूल रूप से केडीई 5 में उपयोग के लिए डिज़ाइन किया गया था, लेकिन केडीई 6 में बदलाव के कारण, हैंडलर को कॉल करने का तर्क टूट सकता है और वेरिएबल एक ऐसे मान के साथ समाप्त हो जाएगा जो सभी उपयोगकर्ता डेटा को हटा देगा (उदाहरण के लिए, चलने के बजाय " sh save.sh somepath/ ..." कोड "sh save.sh somepath / ..." निष्पादित किया जा सकता था, जिसके परिणामस्वरूप configFolder वेरिएबल में मान "/" प्राप्त हुआ।

केडीई डेवलपर्स समान त्रुटियों की पहचान करने के लिए केडीई स्टोर निर्देशिका में पोस्ट किए गए तृतीय-पक्ष थीम का ऑडिट करने का इरादा रखते हैं, और तृतीय-पक्ष उपयोगकर्ताओं द्वारा पोस्ट किए गए थीम इंस्टॉल करते समय चेतावनियां भी व्यवस्थित करते हैं। इसके अतिरिक्त, केडीई स्टोर में होस्ट की गई परियोजनाओं की प्री-स्क्रीनिंग शुरू करने के मुद्दे पर चर्चा की गई है ताकि हमलावरों द्वारा दुर्भावनापूर्ण कार्यों को करने के उद्देश्य से थीम के लक्षित प्लेसमेंट का मुकाबला किया जा सके, जैसे कि संवेदनशील डेटा चोरी करना और क्रिप्टो वॉलेट नंबरों को धोखा देने के लिए प्रक्रियाएं चलाना। क्लिपबोर्ड.

आमतौर पर, कई उपयोगकर्ता यह नहीं मानते हैं कि थीम इंस्टॉल करते समय कोड निष्पादित किया जा सकता है, इसलिए वे थीम इंस्टॉल करते समय सुरक्षा पर उचित ध्यान नहीं देते हैं। वैश्विक विषय न केवल उपस्थिति को प्रभावित करते हैं, बल्कि प्लाज़्मा के व्यवहार को भी बदलते हैं और इसमें स्क्रीन लॉकर और एप्लेट्स के अपने स्वयं के कार्यान्वयन शामिल हो सकते हैं, अर्थात। घटक जो कोड निष्पादित करते हैं। संसाधनों की कमी के कारण, केडीई स्टोर निर्देशिका में पोस्ट की गई परियोजनाओं को किसी भी तरह से सत्यापित नहीं किया जाता है और केवल विश्वास के आधार पर रखा जाता है, इस तथ्य के बावजूद कि कोई भी निर्देशिका में पंजीकरण कर सकता है।

स्रोत: opennet.ru