Ubuntu에서 제거된 애플리케이션 핸들러에 대한 공격 시나리오

Aqua Security의 연구원들은 다음과 같은 프로그램을 실행하려고 시도할 경우 힌트를 제공하는 "command-not-found" 처리기의 구현 기능을 사용하여 Ubuntu 배포 키트 사용자에 대한 공격 가능성에 주목했습니다. 시스템에 없습니다. 문제는 시스템에 없는 실행할 명령을 평가할 때 "command-not-found"가 표준 리포지토리의 패키지뿐만 아니라 권장 사항을 선택할 때 snapcraft.io 디렉터리의 스냅 패키지도 사용한다는 것입니다.

snapcraft.io 디렉터리의 내용을 기반으로 권장 사항을 생성할 때 "command-not-found" 처리기는 패키지 상태를 고려하지 않고 신뢰할 수 없는 사용자가 디렉터리에 추가한 패키지만 포함합니다. 따라서 공격자는 숨겨진 악성 콘텐츠가 포함된 패키지와 기존 DEB 패키지와 겹치는 이름, 원래 저장소에 없었던 프로그램, 이름을 입력할 때 일반적인 오타와 사용자 오류를 이름에 반영하는 가상 응용 프로그램을 snapcraft.io에 배치할 수 있습니다. 인기 있는 유틸리티 중 하나입니다.

예를 들어, 사용자가 "traceroute" 및 "tcpdump" 유틸리티의 이름을 입력할 때 실수를 하고 "command-not-found"가 권장할 것이라는 예상을 가지고 "tracert" 및 "tcpdamp" 패키지를 배치할 수 있습니다. 공격자가 snapcraft.io에서 배치한 악성 패키지를 설치합니다. 사용자는 문제점을 눈치채지 못하고 시스템이 검증된 패키지만 추천한다고 생각할 수도 있습니다. 공격자는 기존 deb 패키지와 이름이 겹치는 패키지를 snapcraft.io에 배치할 수도 있습니다. 이 경우 "command-not-found"는 deb 및 snap 설치에 대한 두 가지 권장 사항을 제공하며 사용자는 더 안전한 것을 고려하여 snap을 선택할 수 있습니다. 또는 최신 버전의 유혹을 받습니다.

snapcraft.io에서 자동 검토를 허용하는 Snap 앱은 격리된 환경에서만 실행할 수 있습니다(격리되지 않은 스냅은 수동 검토 후에만 게시됩니다). 공격자가 네트워크에 액세스할 수 있는 격리된 환경에서 실행하는 것만으로도 충분할 수 있습니다(예: 암호화폐 채굴, DDoS 공격 수행 또는 스팸 전송).

공격자는 커널 및 격리 메커니즘의 패치되지 않은 취약점을 악용하거나 스냅 인터페이스를 사용하여 외부 리소스에 액세스하거나(숨겨진 오디오 및 비디오 녹화용) X11 프로토콜을 사용할 때 키보드 입력을 캡처하는 등 악성 패키지에서 격리 우회 기술을 사용할 수도 있습니다( 샌드박스 환경에서 작동하는 키로거를 생성하려면)

출처 : opennet.ru