புரோஹோஸ்டர் > Блог > இணைய செய்தி > கோப்புகளின் பட்டியலைப் பார்க்கும் போது KDE குறியீடு செயல்படுத்தல் பாதிப்பு
கோப்புகளின் பட்டியலைப் பார்க்கும் போது KDE குறியீடு செயல்படுத்தல் பாதிப்பு
В KDE அடையாளம் காணப்பட்டதுபாதிப்பு, позволяющая атакующему выполнить произвольные команды при просмотре пользователем каталога или архива, содержащего специально оформленные файлы «.desktop» и «.directory». Для атаки достаточно, чтобы пользователь просто просмотрел список файлов в файловом менеджере Dolphin, загрузил вредоносный desktop-файл или перетащил мышью ярлык на рабочий стол или в документ. Проблема проявляется в актуальном выпуске библиотек KDE கட்டமைப்புகள் 5.60.0 и более старых версиях, вплоть до KDE 4. Уязвимость пока எஞ்சியுள்ளதுதிருத்தப்படாத (CVE не присвоен).
Проблема вызвана некорректной реализацией класса KDesktopFile, который при обработке переменной «Icon» без должного экранирования передаёт значение в функцию KConfigPrivate::expandString(), которая выполняет раскрытие спецсимволов shell, в том числе обрабатывая строки «$(..)» как подлежащие исполнению команды. Вопреки требованиям спецификации XDG выполнение வெளிப்படுத்தல் shell-конструкций производится без разделения типа настроек, т.е. не только при определении командной строки запускаемого приложения, но и при указании отображаемых по умолчанию пиктограмм.
Например, для атаки போதுமானது отправить пользователю zip-архив с каталогом, содержащим файл «.directory» вида: