I ricercatori di Aqua Security hanno evidenziato la possibilità di attaccare gli utenti della distribuzione Ubuntu, sfruttando le peculiarità dell'elaboratore «command-not-found», che fornisce suggerimenti nel caso si tenti di avviare un programma assente nel sistema. Il problema è che, nel valutare i comandi da eseguire che non sono presenti nel sistema, «command-not-found» utilizza per scegliere le raccomandazioni non solo i pacchetti dei repository ufficiali, ma anche i pacchetti snap dal catalogo snapcraft.io.
Nella formulazione delle raccomandazioni basate sul contenuto del catalogo snapcraft.io, l'elaboratore «command-not-found» non considera lo stato del pacchetto e include pacchetti aggiunti al catalogo da utenti non verificati. Pertanto, un attaccante può caricare in snapcraft.io un pacchetto con contenuti dannosi nascosti e un nome che si sovrappone a pacchetti DEB esistenti, programmi inizialmente assenti nel repository o applicazioni fasulle i cui nomi riflettono errori di battitura tipici degli utenti quando digitano i nomi di strumenti popolari.
Ad esempio, è possibile caricare pacchetti «tracert» e «tcpdamp» sperando che l'utente commetta un errore nel digitare i nomi degli strumenti «traceroute» e «tcpdump», e che «command-not-found» raccomandi l'installazione dei pacchetti dannosi caricati dall'aggressore da snapcraft.io. L'utente potrebbe non accorgersi dell'inganno e ritenere che il sistema raccomandi solo pacchetti verificati. L'attaccante potrebbe anche caricare in snapcraft.io un pacchetto il cui nome si sovrappone a quelli di pacchetti deb esistenti, e in questo caso «command-not-found» fornirà due raccomandazioni per l'installazione sia di deb che di snap, e l'utente potrebbe scegliere snap, pensando che sia più sicuro o lasciandosi tentare dalla sua versione più recente.
Le applicazioni in formato snap, per le quali snapcraft.io consente la revisione automatica, possono essere eseguite solo in un ambiente isolato (i pacchetti snap senza isolamento possono essere pubblicati solo dopo una revisione manuale). Per l'attaccante potrebbe essere sufficiente eseguire in un ambiente isolato con accesso alla rete, ad esempio per il mining di criptovalute, attacchi DDoS o invio di spam.
L'aggressore potrebbe anche utilizzare metodi per bypassare l'isolamento in pacchetti dannosi, come sfruttare vulnerabilità non corrette nel kernel e nei meccanismi di isolamento, utilizzare interfacce snap per accedere a risorse esterne (per registrazioni nascoste audio e video) o catturare l'input da tastiera quando si utilizza il protocollo X11 (per creare keylogger operanti in ambienti sandbox).
Fonte: opennet.ru
