De resultaten van een experiment over het overnemen van controle over pakketten in het AUR (Arch User Repository) zijn gepubliceerd. Dit wordt gebruikt voor het verspreiden van pakketten door externe ontwikkelaars zonder opname in de hoofdrepository's van de Arch Linux-distributie. Onderzoekers hebben een script voorbereid dat de registratie van domeinen controleert die worden vermeld in de PKGBUILD- en SRCINFO-bestanden. Tijdens de uitvoering van dit script werden 14 verlopen domeinen aangetroffen die in 20 pakketten worden gebruikt voor het downloaden van bestanden.
Eenvoudig domeinregistratie is niet voldoende om een pakket te vervangen, aangezien de gedownloade inhoud wordt gecontroleerd aan de hand van de eerder in AUR opgeslagen checksums. Het bleek echter dat ongeveer 35% van de pakketten in AUR in het PKGBUILD-bestand de parameter ‘SKIP’ gebruikt om de checksum-controle over te slaan (bijvoorbeeld door sha256sums=(‘SKIP’) aan te geven). Van de 20 pakketten met verlopen domeinen werd de SKIP-parameter in 4 gebruikt.
Om het potentieel van de aanval te demonstreren, kochten de onderzoekers een domein van een van de pakketten die geen checksum-controle uitvoeren en plaatsten een archief met de code en een gewijzigd installatie-script erop. In plaats van de feitelijke inhoud werd een waarschuwing over het uitvoeren van externe code aan het script toegevoegd. De poging om het pakket te installeren resulteerde in het downloaden van gemanipuleerde bestanden en, omdat de checksum niet werd gecontroleerd, in een succesvolle installatie en uitvoering van de code door de experimentatoren toegevoegd.
Pakketten waarvan de domeinen met code verlopen zijn:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Bron: opennet.ru
