Onderzoekers van Aqua Security hebben de mogelijkheid onderzocht om gebruikers van de Ubuntu-distributie aan te vallen door gebruik te maken van de functies van de «command-not-found»-handler, die aanbevelingen geeft bij het proberen om een programma te starten dat niet op het systeem aanwezig is. Het probleem is dat bij het beoordelen van de opdracht die wordt uitgevoerd, die niet op het systeem aanwezig is, «command-not-found» niet alleen kijkt naar pakketten uit de standaardrepositories, maar ook naar snap-pakketten uit de catalogus van snapcraft.io.
Bij het doen van aanbevelingen op basis van de inhoud van de catalogus van snapcraft.io houdt de «command-not-found»-handler geen rekening met de status van het pakket en dekt het ook pakketten die door niet-geverifieerde gebruikers aan de catalogus zijn toegevoegd. Dit betekent dat een aanvaller een pakket met verborgen kwaadaardige inhoud kan plaatsen op snapcraft.io, met een naam die overeenkomt met bestaande DEB-pakketten, programma's die aanvankelijk niet in de repository aanwezig zijn, of nep-applicaties waarvan de namen typische typfouten en fouten van gebruikers weerspiegelen bij het invoeren van populaire hulpprogramma's.
Bijvoorbeeld, pakketten zoals «tracert» en «tcpdamp» kunnen worden geplaatst, met de veronderstelling dat de gebruiker een fout maakt bij het invoeren van de namen van de hulpprogramma's «traceroute» en «tcpdump», en «command-not-found» zal aanbevelen om de kwaadaardige pakketten die door de aanvaller op snapcraft.io zijn geplaatst, te installeren. De gebruiker kan de valstrik niet opmerken en aannemen dat het systeem alleen geverifieerde pakketten aanbeveelt. De aanvaller kan ook een pakket op snapcraft.io plaatsen waarvan de naam overeenkomt met bestaande deb-pakketten, en in dat geval zal «command-not-found» twee installatie-aanbevelingen geven voor zowel deb als snap, waarbij de gebruiker misschien snap kiest, denkend dat het veiliger is of verleid door een nieuwere versie.
Snap-applicaties, waarvoor op snapcraft.io automatische beoordeling is toegestaan, kunnen alleen worden uitgevoerd in een geïsoleerde omgeving (snap-pakketten zonder isolatie worden alleen gepubliceerd na handmatige beoordeling). Het kan voor een aanvaller voldoende zijn om in een geïsoleerde omgeving met netwerktoegang te opereren, bijvoorbeeld voor cryptomining, het uitvoeren van DDoS-aanvallen of het verzenden van spam.
Een aanvaller kan ook technieken gebruiken in kwaadaardige pakketten om isolatie te omzeilen, zoals het benutten van onopgeloste kwetsbaarheden in de kernel en isolatiemechanismen, het inschakelen van snap-interfaces om toegang te krijgen tot externe bronnen (voor het heimelijk opnemen van audio en video) of het vastleggen van toetseninvoer met behulp van het X11-protocol (om keyloggers te creëren die werken in een sandbox-omgeving).
Bron: opennet.ru
