Forskare frÄn företaget Aqua Security har uppmÀrksammat möjligheten att attackera anvÀndare av Ubuntu-distributionen genom att utnyttja funktionerna i hanteraren "command-not-found", som ger förslag vid försök att köra ett program som inte finns i systemet. Problemet Àr att nÀr den bedömer kommandon som inte finns i systemet, anvÀnder "command-not-found" rekommendationer inte bara frÄn de vanliga programförrÄden, utan Àven snap-paket frÄn katalogen snapcraft.io.
Vid skapandet av rekommendationer baserat pÄ innehÄllet i katalogen snapcraft.io tar hanteraren "command-not-found" inte hÀnsyn till paketens status och omfattar paket som har lagts till i katalogen av ovÀrderade anvÀndare. DÀrmed kan en angripare lÀgga upp ett paket med dolda skadliga komponenter och ett namn som överlappar med befintliga DEB-paket, program som initialt saknas i programförrÄden, eller falska program vars namn speglar typiska stavfel och misstag som anvÀndare gör nÀr de skriver namnen pÄ populÀra verktyg.
Till exempel kan man lÀgga upp paketen "tracert" och "tcpdamp" med förvÀntan att anvÀndaren kommer att göra fel nÀr de skriver namnen pÄ verktygen "traceroute" och "tcpdump", och "command-not-found" kommer att rekommendera att installera de skadliga paketen som har lagts upp av angriparen frÄn snapcraft.io. AnvÀndaren kan missförstÄ och tro att systemet enbart rekommenderar verifierade paket. Angriparen kan Àven lÀgga upp ett paket pÄ snapcraft.io vars namn överlappar med befintliga deb-paket, och i det fallet kommer "command-not-found" att ge tvÄ installationsrekommendationer för deb och snap, och anvÀndaren kan vÀlja snap, troende att det Àr mer skyddat eller lockad av en nyare version.
Snap-appar, för vilka automatisk granskning tillÄts i snapcraft.io, kan endast köras i en isolerad miljö (snap-paket utan isolering publiceras endast efter manuell granskning). Det kan vara tillrÀckligt för en angripare att operera i en isolerad miljö med nÀtverksÄtkomst, till exempel för kryptovaluta-mining, utföra DDoS-attacker eller skicka skrÀppost.
En angripare kan ocksÄ anvÀnda metoder i skadliga paket för att kringgÄ isolering, som att utnyttja ofixade sÄrbarheter i kÀrnan och isoleringsmekanismer, aktivera snap-grÀnssnitt för att fÄ Ätkomst till externa resurser (för att dölja inspelning av ljud och video) eller fÄnga tangentbordsinmatning vid anvÀndning av X11-protokollet (för att skapa fungerande keyloggers i sandbox-miljöer).
KĂ€lla: opennet.ru
