ఆక్వా సెక్యూరిటీ పరిశోధకులు డిస్ట్రిబ్యూషన్ వినియోగదారులపై దాడి జరిగే అవకాశం ఉందని దృష్టికి తెచ్చారు. Ubuntuసిస్టమ్లో లేని ప్రోగ్రామ్ను అమలు చేయడానికి ప్రయత్నించినప్పుడు ప్రాంప్ట్ను అందించే "కమాండ్-నాట్-ఫౌండ్" హ్యాండ్లర్ అమలును సద్వినియోగం చేసుకోవడం. సమస్య ఏమిటంటే, సిస్టమ్లో లేని కమాండ్లను అమలు చేయడానికి మూల్యాంకనం చేసేటప్పుడు, "కమాండ్-నాట్-ఫౌండ్" ఒక సిఫార్సును ఎంచుకోవడానికి ప్రామాణిక రిపోజిటరీల నుండి ప్యాకేజీలను మాత్రమే కాకుండా, snapcraft.io డైరెక్టరీ నుండి స్నాప్ ప్యాకేజీలను కూడా ఉపయోగిస్తుంది.
snapcraft.io డైరెక్టరీలోని కంటెంట్ల ఆధారంగా సిఫార్సు చేస్తున్నప్పుడు, "కమాండ్-నాట్-ఫౌండ్" హ్యాండ్లర్ ప్యాకేజీ స్థితిని పరిగణనలోకి తీసుకోదు మరియు ధృవీకరించని వినియోగదారులు డైరెక్టరీకి జోడించిన ప్యాకేజీలను మాత్రమే కవర్ చేస్తుంది. అందువల్ల, దాడి చేసే వ్యక్తి snapcraft.ioలో దాచిన హానికరమైన కంటెంట్తో కూడిన ప్యాకేజీని మరియు ఇప్పటికే ఉన్న DEB ప్యాకేజీలతో అతివ్యాప్తి చెందే పేరు, రిపోజిటరీలో లేని ప్రోగ్రామ్లు లేదా పేర్లను టైప్ చేసేటప్పుడు సాధారణ అక్షరదోషాలు మరియు వినియోగదారు లోపాలను ప్రతిబింబించే కల్పిత అప్లికేషన్లను ఉంచవచ్చు. ప్రసిద్ధ వినియోగాలు.
ఉదాహరణకు, "traceroute" మరియు "tcpdump" యుటిలిటీల పేర్లను టైప్ చేసేటప్పుడు వినియోగదారు పొరపాటు చేస్తారనే అంచనాతో మీరు "tracert" మరియు "tcpdamp" ప్యాకేజీలను ఉంచవచ్చు మరియు "కమాండ్-నాట్-ఫౌండ్" సిఫార్సు చేస్తుంది దాడి చేసే వ్యక్తి snapcraft.io నుండి ఉంచిన హానికరమైన ప్యాకేజీలను ఇన్స్టాల్ చేస్తోంది. వినియోగదారు క్యాచ్ను గమనించకపోవచ్చు మరియు సిస్టమ్ నిరూపితమైన ప్యాకేజీలను మాత్రమే సిఫార్సు చేస్తుందని అనుకోవచ్చు. దాడి చేసే వ్యక్తి snapcraft.ioలో ప్యాకేజీని కూడా ఉంచవచ్చు, దీని పేరు ఇప్పటికే ఉన్న డెబ్ ప్యాకేజీలతో అతివ్యాప్తి చెందుతుంది, ఈ సందర్భంలో “కమాండ్-నాట్-ఫౌండ్” డెబ్ మరియు స్నాప్ని ఇన్స్టాల్ చేయడానికి రెండు సిఫార్సులను ఇస్తుంది మరియు వినియోగదారు మరింత సురక్షితమైనదిగా భావించి స్నాప్ని ఎంచుకోవచ్చు. లేదా కొత్త వెర్షన్ ద్వారా టెంప్ట్ చేయబడింది.
snapcraft.io ఆటోమేటిక్ రివ్యూ కోసం అనుమతించే స్నాప్ యాప్లు వివిక్త వాతావరణంలో మాత్రమే అమలు చేయగలవు (వివిక్తంగా లేని స్నాప్లు మాన్యువల్ సమీక్ష తర్వాత మాత్రమే ప్రచురించబడతాయి). దాడి చేసే వ్యక్తి నెట్వర్క్కు యాక్సెస్తో వివిక్త వాతావరణంలో అమలు చేయడం సరిపోతుంది, ఉదాహరణకు, క్రిప్టోకరెన్సీని గని, DDoS దాడులను నిర్వహించడం లేదా స్పామ్ పంపడం.
కెర్నల్ మరియు ఐసోలేషన్ మెకానిజమ్లలో అన్ప్యాచ్ చేయని దుర్బలత్వాలను ఉపయోగించడం, బాహ్య వనరులను యాక్సెస్ చేయడానికి స్నాప్ ఇంటర్ఫేస్లను ఉపయోగించడం (దాచిన ఆడియో మరియు వీడియో రికార్డింగ్ కోసం) లేదా X11 ప్రోటోకాల్ను ఉపయోగిస్తున్నప్పుడు కీబోర్డ్ ఇన్పుట్ను క్యాప్చర్ చేయడం వంటి హానికరమైన ప్యాకేజీలలో దాడి చేసే వ్యక్తి ఐసోలేషన్ బైపాస్ పద్ధతులను కూడా ఉపయోగించవచ్చు ( శాండ్బాక్స్ వాతావరణంలో పనిచేసే కీలాగర్లను సృష్టించడానికి).
మూలం: opennet.ru
