Zverejnené výsledky experimentu na získanie kontroly nad balíkmi v repozitári AUR (Arch User Repository), ktorý sa používa na distribúciu balíkov tretími stranami bez zahrnutia do hlavných repozitárov distribúcie Arch Linux. Výskumníci pripravili skript, ktorý kontroluje expiráciu registrácie domén uvedených vo súboroch PKGBUILD a SRCINFO. Po spustení tohto skriptu bolo zistených 14 expirovaných domén, používaných v 20 balíkoch na sťahovanie súborov.
Jednoduché registrácie domény nie je dostatočné na nahradenie balíka, pretože sťahovaný obsah je overovaný na základe už nahranej kontrolnej sumy v AUR. Napriek tomu sa ukázalo, že približne 35% balíkov v AUR používa v súbore PKGBUILD parameter „SKIP“ na preskočenie kontroly kontrolnej sumy (napríklad uvádzajú sha256sums=(‘SKIP’)). Z 20 balíkov s expirovanými doménami bol parameter SKIP použitý v 4.
Na demonštráciu možnosti vykonania útoku si výskumníci kúpili doménu jedného z balíkov, ktorý neoveruje kontrolné sumy, a umiestnili na ňu archív s kódom a upravený inštalačný skript. Namiesto skutočne sťahovaného obsahu bol do skriptu pridaný výstup varovania o vykonávaní kódu od tretích strán. Pokus o inštaláciu balíka viedol k sťahovaniu nahradených súborov a, pretože kontrolná suma sa neoverovala, k úspešnej inštalácii a spusteniu kódu pridaného experimentátormi.
Balíky, domény s kódom ktorých sa ukázali ako expirované:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Zdroj: opennet.ru
