{"id":114498,"date":"2024-03-22T12:26:01","date_gmt":"2024-03-22T10:26:01","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/inczident-s-temoj-oformleniya-kde-udalyayushhej-polzovatelskie-fajly"},"modified":"2024-03-22T12:26:01","modified_gmt":"2024-03-22T10:26:01","slug":"inczident-s-temoj-oformleniya-kde-udalyayushhej-polzovatelskie-fajly","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/inczident-s-temoj-oformleniya-kde-udalyayushhej-polzovatelskie-fajly","title":{"rendered":"Incidente legato al tema KDE, che elimina file utente.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Il progetto KDE ha raccomandato di evitare l'installazione di temi globali e widget non ufficiali dopo un incidente in cui tutti i file personali di un utente sono stati rimossi a causa dell'installazione del tema Grey Layout dalla KDE Store, che conta circa 4000 download. Si ipotizza che l'incidente sia stato causato non da malizia, ma da un errore legato all'uso improprio del comando \"rm -rf\". <\/p>\n
Nei temi globali di KDE \u00e8 prevista la possibilit\u00e0 di utilizzare plasmoidi che eseguono comandi arbitrari, i quali possono, tra le altre cose, essere utilizzati per eliminare file. Utilizzando nel codice costruzioni del tipo \"rm -rf $VAR\/*\", pu\u00f2 verificarsi una situazione in cui la variabile $VAR risulta non inizializzata, il che porter\u00e0 all'effettiva esecuzione del comando \"rm -rf \/*\". In precedenza, errori simili erano emersi negli script di inizializzazione di Squid, Steam e bumblebee. <\/p>\n
L'incidente avvenuto \u00e8 collegato a una chiamata di codice dal widget PlasmaConfSaver, in cui \u00e8 presente uno script save.sh che esegue la rimozione di vecchi file di configurazione rimasti da precedenti installazioni. I file vengono rimossi con il comando \"rm -Rf \"$configFolder\", senza che nel codice sia presente un controllo dell'impostazione della variabile $configFolder, il cui valore \u00e8 passato tramite un argomento della riga di comando (\"configFolder=$2\"). Inizialmente, il codice era progettato per l'uso in KDE 5, ma a causa delle modifiche in KDE 6, la logica di chiamata dei gestori potrebbe essere stata compromessa e la variabile potrebbe avere contenuto un valore che porta alla rimozione di tutti i dati dell'utente (ad esempio, invece di eseguire \"sh save.sh somepath\/ ...\" potrebbe essere stato eseguito il codice \"sh save.sh somepath \/ ...\", risultando nel valore \"\/\" per la variabile configFolder). <\/p>\n
Gli sviluppatori di KDE intendono effettuare un audit dei temi di terze parti disponibili nel catalogo KDE Store per identificare errori simili e organizzare avvisi durante l'installazione di temi forniti da utenti esterni. Si sta inoltre discutendo l'introduzione di un controllo preliminare per i progetti ospitati nel KDE Store, al fine di contrastare la pubblicazione mirata di temi da parte di malintenzionati, finalizzati a compiere azioni dannose come il furto di dati sensibili e l'avvio di processi per sostituire i numeri dei portafogli crittografici negli appunti. <\/p>\n
In genere, molti utenti non si rendono conto che durante l'installazione di un tema possono essere eseguiti dei codici, quindi non prestano sufficiente attenzione alla sicurezza durante l'installazione dei temi. I temi globali non solo influenzano l'aspetto, ma cambiano anche il comportamento di Plasma e possono includere implementazioni proprie di schermate di blocco e applet, ovvero componenti che eseguono codice. A causa della mancanza di risorse, i progetti presenti nella directory KDE Store non vengono sottoposti a verifica e vengono pubblicati esclusivamente su base di fiducia, sebbene chiunque possa registrarsi nella directory. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"