Megjelentek a kísérlet eredményei, amelyek a csomagok feletti ellenőrzés átvételére vonatkoznak az AUR (Arch User Repository) tárolóban, amelyet a harmadik fél fejlesztői a saját csomagjaik terjesztésére használnak, anélkül hogy bekerülnének a disztribúció fő tárolóiba az Arch Linuxban. A kutatók elkészítettek egy szkriptet, amely ellenőrzi a PKGBUILD és SRCINFO fájlokban szereplő domain regisztrációk lejáratát. A szkript futtatása során 14 lejárt domaint találtak, amelyek 20 csomagban szerepeltek fájlok letöltésére.
Egyszerű domain regisztráció nem elegendő a csomag kicserélésére, mivel a letöltött tartalmat a már az AUR-ban tárolt ellenőrző összeg alapján ellenőrzik. Mindazonáltal kiderült, hogy a csomagok körülbelül 35%-át fenntartó elemek a PKGBUILD fájlban az „SKIP” paramétert használják az ellenőrző összeg ellenőrzésének kihagyására (például sha256sums=(‘SKIP’) megadásával). A 20 lejárt domaint használó csomag közül 4-nél használták az SKIP paramétert.
A támadás lehetőségének bemutatására a kutatók megvásároltak egy domaint egy olyan csomaghoz, amely nem ellenőrzi az ellenőrző összegeket, és feltöltöttek rá egy archívumot a kóddal és egy módosított telepítési forgatókönyvet. A tényleges tartalom helyett a forgatókönyvbe figyelmeztető üzenetet helyeztek el, amely a harmadik fél kódjának végrehajtásáról tájékoztatott. A csomag telepítési kísérlete a módosított fájlok letöltéséhez vezetett, és mivel az ellenőrző összeg nem lett ellenőrizve, sikeres telepítést és a kísérletezők által hozzáadott kód futását eredményezte.
A csomagok, amelyek domainjei lejártak:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Forrás: opennet.ru
