Objavljeni so rezultati eksperimenta o prevzemu nadzora nad paketnimi datotekami v AUR (Arch User Repository), ki se uporablja za distribucijo paketov s strani zunanjih razvijalcev, brez vključitve v glavne repozitorije distribucije Arch Linux. Raziskovalci so pripravili skripto, ki preverja potek registracije domen, navedenih v datotekah PKGBUILD in SRCINFO. Med izvajanjem te skripte so odkrili 14 poteklih domen, uporabljenih v 20 paketih za prenos datotek.
Enostavno registracije domene ni dovolj za zamenjavo paketa, ker se vsebina, ki se prenaša, preverja glede na že naloženo kontrolno vsoto v AUR. Vendar se je izkazalo, da približno 35% paketa v AUR uporablja parameter 'SKIP' v datoteki PKGBUILD za preskakovanje preverjanja kontrolne vsote (na primer, navajajo sha256sums=('SKIP')). Od 20 paketov s poteklimi domenami je bil parameter SKIP uporabljen v 4.
Za prikaz možnosti izvajanja napada so raziskovalci kupili domeno enega od paketov, ki ne preverjajo kontrolnih vsot, in na njej objavili arhiv s kodo ter spremenjen namestitveni skript. Namesto dejanske vsebine je bil v skript dodan izhod opozorila o izvajanju zunanje kode. Poskus namestitve paketa je povzročil prenos zamenjanih datotek in, ker kontrolna vsota ni bila preverjena, uspešno namestitev in zagon kode dodanih eksperimentatorjev.
Paketi, katerih domene s kodo so potekle:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Izvor: opennet.ru
