Aqua Security の研究者は、「command-not-found」ハンドラーの実装機能を使用して、Ubuntu 配布キットのユーザーが攻撃される可能性があることに注意を呼び掛けました。このハンドラーは、次のプログラムを起動しようとした場合にヒントを提供します。システムにはありません。問題は、システムに存在しない実行するコマンドを評価するときに、「command-not-found」が推奨事項を選択するときに標準リポジトリのパッケージだけでなく、snapcraft.io ディレクトリのスナップ パッケージも使用することです。
snapcraft.io ディレクトリの内容に基づいて推奨事項を生成する場合、「command-not-found」ハンドラーはパッケージのステータスを考慮せず、信頼できないユーザーによってディレクトリに追加されたパッケージのみを対象とします。したがって、攻撃者は、悪意のあるコンテンツを隠し、既存の DEB パッケージと重複する名前を持つパッケージ、元々リポジトリに存在しなかったプログラム、または名前を入力する際の典型的なタイプミスやユーザー エラーを名前に反映した架空のアプリケーションを snapcraft.io に配置する可能性があります。人気のユーティリティの。
たとえば、ユーザーが「traceroute」および「tcpdump」ユーティリティの名前を入力するときに間違いを犯すことを想定して、「tracert」および「tcpdamp」パッケージを配置すると、「command-not-found」が推奨するメッセージが表示されます。攻撃者が配置した悪意のあるパッケージを snapcraft.io からインストールします。ユーザーはこの問題に気付かず、システムが実績のあるパッケージのみを推奨していると考える可能性があります。攻撃者は、既存の deb パッケージと名前が重複するパッケージを snapcraft.io に配置することもできます。その場合、「command-not-found」により、deb と snap のインストールに関する 2 つの推奨事項が表示され、ユーザーはより安全であると考えて snap を選択できます。または、新しいバージョンに誘惑されることもあります。
snapcraft.io で自動レビューが許可されているスナップ アプリは、分離された環境でのみ実行できます (分離されていないスナップは手動レビュー後にのみ公開されます)。攻撃者にとっては、ネットワークにアクセスできる隔離された環境で実行するだけで十分である可能性があります。たとえば、暗号通貨のマイニング、DDoS 攻撃の実行、またはスパムの送信などです。
攻撃者は、カーネルおよび分離メカニズムのパッチが適用されていない脆弱性を悪用したり、スナップ インターフェイスを使用して外部リソースにアクセスしたり (オーディオおよびビデオの隠し録画用)、X11 プロトコル使用時にキーボード入力をキャプチャしたりするなど、悪意のあるパッケージで分離バイパス手法を使用することもできます (サンドボックス環境で動作するキーロガーを作成するため)。
出所： オープンネット.ru