Resultaten frÄn experimentet om kontrollen över paketen i AUR (Arch User Repository) har publicerats. Detta anvÀnds för att distribuera paket av externa utvecklare utan att inkludera dem i de huvudsakliga lagren av Arch Linux-distributionen. Forskare har förberett ett skript som kontrollerar utgÄngen av domÀnregistreringar som förekommer i filerna PKGBUILD och SRCINFO. Vid körning av detta skript upptÀcktes 14 förfallna domÀner, som anvÀnds i 20 paket för att ladda ner filer.
Enkel domĂ€nregistrering Ă€r inte tillrĂ€cklig för att ersĂ€tta paketet, eftersom det nedladdade innehĂ„llet kontrolleras mot den redan uppladdade kontrollsumman i AUR. Det visade sig dock att omkring 35 % av paketen i AUR anvĂ€nder parametern "SKIP" i PKGBUILD-filen för att hoppa över kontrollsummans verifiering (till exempel anges sha256sums=(âSKIPâ)). Av de 20 paketen med förfallna domĂ€ner anvĂ€ndes parametern SKIP i 4.
För att demonstrera möjligheten för attacken köpte forskarna domÀnen för ett av paketen som inte kontrollerar kontrollsummor och publicerade en arkiv med koden och ett Àndrat installationsscript. IstÀllet för det faktiska innehÄllet lades ett meddelande om varning för att köra extern kod till skriptet. Försöket att installera paketet ledde till nedladdning av manipulerade filer och, eftersom kontrollsumman inte verifierades, till en lyckad installation och körning av koden som experimentet lÀt oss lÀgga till.
Paketen vars domÀner med kod visade sig vara förfallna:
- firefox-vacuum
- gvim-checkpath
- wine-pixi2
- xcursor-theme-wii
- lightzone-free
- scalafmt-native
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-gone
- erwiz
- totd
- kygekteampmmp4
- servicewall-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
KĂ€lla: opennet.ru
