Sono stati pubblicati i risultati di un esperimento sul controllo dei pacchetti nel repository AUR (Arch User Repository), utilizzato per la distribuzione di pacchetti da parte di sviluppatori di terze parti senza l'inclusione nei repository principali della distribuzione Arch Linux. I ricercatori hanno preparato uno script che verifica la scadenza della registrazione dei domini presenti nei file PKGBUILD e SRCINFO. Durante l'esecuzione di questo script sono stati identificati 14 domini scaduti utilizzati in 20 pacchetti per il download di file.
Semplice registrazione del dominio non è sufficiente per sostituire un pacchetto, poiché il contenuto scaricato viene verificato tramite il checksum già caricato in AUR. Tuttavia, è emerso che circa il 35% dei pacchetti in AUR utilizza nel file PKGBUILD il parametro “SKIP” per saltare il controllo del checksum (ad esempio, specificando sha256sums=(‘SKIP’)). Dei 20 pacchetti con domini scaduti, il parametro SKIP è stato utilizzato in 4.
Per dimostrare la possibilità di eseguire un attacco, i ricercatori hanno acquistato il dominio di uno dei pacchetti che non verificano i checksum e vi hanno caricato un archivio con il codice e uno script di installazione modificato. Invece del contenuto effettivo, lo script includeva un avviso sull'esecuzione di codice di terze parti. Il tentativo di installazione del pacchetto portava al download di file sostituiti e, poiché il checksum non veniva verificato, all'installazione e all'esecuzione con successo del codice aggiunto dagli sperimentatori.
Pacchetti i cui domini contenenti codice sono risultati scaduti:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Fonte: opennet.ru
