प्रयोगकर्ता फाइलहरू मेटाउने केडीई विषयवस्तुसँगको घटना

केडीई स्टोरबाट ग्रे लेआउट विषयवस्तु स्थापना गर्ने प्रयोगकर्ताका सबै व्यक्तिगत फाइलहरू मेटाउने घटनापछि केडीईका लागि अनौपचारिक विश्वव्यापी विषयवस्तुहरू र विजेटहरू स्थापना नगर्न केडीई परियोजनाले 4000 डाउनलोडहरू सहित सिफारिस गरेको छ। यो विश्वास गरिन्छ कि घटना दुर्भावनापूर्ण अभिप्रायको कारणले होइन, तर "rm -rf" आदेशको असुरक्षित प्रयोगसँग सम्बन्धित बगको कारण हो।

केडीई विश्वव्यापी विषयवस्तुहरूले मनमानी आदेशहरू चलाउने प्लाज्मोइडहरू प्रयोग गर्ने क्षमता प्रदान गर्दछ, जुन अन्य चीजहरू बीचमा फाइलहरू मेटाउन प्रयोग गर्न सकिन्छ। कोडमा "rm -rf $VAR/*" जस्ता निर्माणहरू प्रयोग गर्दा, $VAR भ्यारीएबल अनइनिशियलाइज भएको अवस्थामा स्थिति उत्पन्न हुन सक्छ, जसले "rm -rf /*" कमाण्डको वास्तविक कार्यान्वयनमा लैजान्छ। पहिले, समान त्रुटिहरू Squid, Steam र bumblebee को प्रारम्भिक स्क्रिप्टहरूमा देखा पर्‍यो।

घटना PlasmaConfSaver विजेटबाट कलिङ कोडसँग सम्बन्धित छ, जसले save.sh स्क्रिप्ट समावेश गर्दछ जसले अन्तिम स्थापनाबाट बाँकी रहेका पुराना कन्फिगरेसन फाइलहरू मेटाउँछ। फाइलहरू "rm -Rf "$ configFolder" आदेशको साथ मेटाइन्छ, कोडले $ configFolder चरको सेटिङ जाँच गर्दैन, जसको मान कमाण्ड लाइन तर्क ("configFolder=$2") मार्फत पारित हुन्छ। । कोड मूल रूपमा केडीई 5 मा प्रयोगको लागि डिजाइन गरिएको थियो, तर केडीई 6 मा परिवर्तनहरूका कारण, ह्यान्डलरहरू कल गर्ने तर्क टुटेको हुन सक्छ र चर सबै प्रयोगकर्ता डेटा मेटाउने मानसँग समाप्त हुन्छ (उदाहरणका लागि, चलाउनको सट्टा " sh save.sh somepath/ ..." कोड "sh save.sh somepath / ..." लाई कार्यान्वयन गरिएको हुन सक्छ, जसको परिणामस्वरूप कन्फिगफोल्डर चरमा "/" मान हुन्छ।

केडीई विकासकर्ताहरूले समान त्रुटिहरू पहिचान गर्न केडीई स्टोर डाइरेक्टरीमा पोष्ट गरिएका तेस्रो-पक्ष विषयवस्तुहरू अडिट गर्न चाहन्छन्, र तेस्रो-पक्ष प्रयोगकर्ताहरूद्वारा पोस्ट गरिएका थिमहरू स्थापना गर्दा चेतावनीहरू पनि व्यवस्थित गर्न चाहन्छन्। थप रूपमा, केडीई स्टोरमा होस्ट गरिएका परियोजनाहरूको प्रि-स्क्रिनिङ परिचय गराउने मुद्दामा छलफल गरिएको छ ताकि संवेदनशील डाटा चोरी गर्ने र क्रिप्टो वालेट नम्बरहरू स्पूफ गर्न प्रक्रियाहरू चलाउने जस्ता दुर्भावनापूर्ण कार्यहरू गर्ने उद्देश्यले आक्रमणकारीहरूले थिमहरूको लक्षित प्लेसमेन्टको प्रतिरोध गर्न। क्लिपबोर्ड।

सामान्यतया, धेरै प्रयोगकर्ताहरूले विषयवस्तु स्थापना गर्दा कोड कार्यान्वयन हुन सक्छ भन्ने अनुमान गर्दैनन्, त्यसैले तिनीहरूले विषयवस्तुहरू स्थापना गर्दा सुरक्षामा ध्यान दिँदैनन्। विश्वव्यापी विषयवस्तुहरूले उपस्थितिलाई मात्र असर गर्दैन, तर प्लाज्माको व्यवहारलाई पनि परिवर्तन गर्दछ र स्क्रिन लकरहरू र एप्लेटहरूको आफ्नै कार्यान्वयन समावेश गर्न सक्छ, अर्थात्। कम्पोनेन्टहरू जसले कोड कार्यान्वयन गर्दछ। स्रोतको अभावको कारणले, केडीई स्टोर डाइरेक्टरीमा पोस्ट गरिएका परियोजनाहरू कुनै पनि हिसाबले प्रमाणित हुँदैनन् र जो कोहीले पनि निर्देशिकामा दर्ता गर्न सक्छन् भन्ने तथ्यको बावजुद विश्वासको आधारमा राखिन्छन्।

स्रोत: opennet.ru