Sono stati pubblicati i risultati di un esperimento sul controllo dei pacchetti nel repository AUR (Arch User Repository), utilizzato per la distribuzione di pacchetti da parte di sviluppatori esterni senza l'inclusione nei principali repository della distribuzione Arch Linux. I ricercatori hanno preparato uno script per verificare la scadenza della registrazione dei domini presenti nei file PKGBUILD e SRCINFO. Durante l'esecuzione di questo script, sono stati identificati 14 domini scaduti utilizzati in 20 pacchetti per il download di file.
Semplice registrazione del dominio non sufficiente per sostituire il pacchetto, poiché il contenuto caricato viene verificato in base al checksum già caricato in AUR. Tuttavia, è emerso che circa il 35% dei pacchetti in AUR utilizza nel file PKGBUILD il parametro «SKIP» per saltare il controllo del checksum (ad esempio, specificano sha256sums=(‘SKIP’)). Su 20 pacchetti con domini scaduti, il parametro SKIP è stato utilizzato in 4.
Per dimostrare la possibilità di attacco, i ricercatori hanno acquistato il dominio di uno dei pacchetti che non controllavano gli hash e hanno caricato un archivio con il codice e uno script di installazione modificato. Invece del contenuto effettivo, lo script conteneva un messaggio di avviso sull'esecuzione di codice strano. Il tentativo di installazione del pacchetto portava al download di file modificati e, poiché il controllo dell'hash non veniva effettuato, a un'installazione e un avvio riusciti del codice aggiunto dagli sperimentatori.
Pacchetti, domini il cui codice è scaduto:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Fonte: opennet.ru
