AUR 저장소에서 패키지를 제어하기 위한 실험

Arch Linux 배포판의 기본 저장소에 포함하지 않고 타사 개발자가 패키지를 배포하는 데 사용되는 AUR(Arch User Repository) 저장소의 패키지 제어권을 장악하는 실험 결과가 게시되었습니다. 연구원들은 PKGBUILD 및 SRCINFO 파일에 나타나는 도메인 등록 만료를 확인하는 스크립트를 준비했습니다. 이 스크립트를 실행하면 만료된 도메인 14개가 식별되었으며 파일 다운로드용 패키지 20개에 사용되었습니다.

단순히 도메인을 등록하는 것만으로는 패키지를 스푸핑하기에 충분하지 않습니다. 다운로드한 콘텐츠가 AUR에 이미 로드된 체크섬과 비교하여 확인되기 때문입니다. 그러나 AUR 패키지의 약 35%에 대한 관리자는 PKGBUILD 파일의 "SKIP" 매개변수를 사용하여 체크섬 확인을 건너뛰는 것으로 나타났습니다(예: sha256sums=('SKIP') 지정). 도메인이 만료된 20개의 패킷 중 4개에서 SKIP 매개변수가 사용되었습니다.

공격 수행 가능성을 입증하기 위해 연구원들은 체크섬을 확인하지 않는 패키지 중 하나의 도메인을 구입하고 코드와 수정된 설치 스크립트가 포함된 아카이브를 배치했습니다. 실제 내용 대신 타사 코드 실행에 대한 경고 메시지가 스크립트에 추가되었습니다. 패키지를 설치하려고 시도하면 대체 파일이 다운로드되고 체크섬이 확인되지 않았기 때문에 실험자가 추가한 코드가 성공적으로 설치되고 실행되었습니다.

코드가 포함된 도메인이 만료된 패키지:

• 파이어폭스 진공
• gvim-checkpath
• 와인픽시2
• xcursor-테마-wii
• 라이트존 프리
• scalafmt 네이티브
• 쿨큐-프로-빈
• gmedit-빈
• 메센스빈
• 폴리비사라
• 에르위즈
• 토드
• kygekteampmmp4
• servicewall-git
• 부적 빈
• 에테르 덤프
• 낮잠통
• iscfpc
• iscfpc-aarch64
• iscfpcx

출처 : opennet.ru