Objavljeni su rezultati eksperimenta o preuzimanju kontrole nad paketima u AUR (Arch User Repository) repozitoriju, koji se koristi za distribuciju paketa od strane trećih stranaka bez uključivanja u glavne repozitorije Arch Linux distribucije. Istraživači su pripremili skriptu koja provjerava isteke registracije domena navedenih u PKGBUILD i SRCINFO datotekama. Tijekom pokretanja ove skripte otkriveno je 14 isteka domena korištenih u 20 paketa za preuzimanje datoteka.
Jednostavno registracija domene nije dovoljna za zamjenu paketa, budući da se preuzeti sadržaj provjerava prema već preuzetoj kontrolnoj sumi u AUR-u. Ipak, pokazalo se da oko 35% paketa u AUR-u koristi u PKGBUILD datoteci parametar „SKIP“ za preskakanje provjere kontrolne sume (na primjer, navode sha256sums=(‘SKIP’)). Od 20 paketa s isteknutim domenama, parametar SKIP se koristio u 4.
Kako bi demonstrirali mogućnost napada, istraživači su kupili domenu jednog od paketa koji ne provjerava kontrolne sume i postavili arhivu s kodom i izmijenjenim skriptom za instalaciju na nju. Umjesto stvarnog sadržaja, u skriptu je dodan ispis upozorenja o izvršavanju koda treće strane. Pokušaj instalacije paketa doveo je do preuzimanja podmetnutih datoteka i, budući da se kontrolna suma nije provjeravala, do uspješne instalacije i pokretanja koda koji su dodali eksperimenti.
Paketi čiji su domene s kodom isteknuli:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Izvor: opennet.ru
