นักวิจัยจาก Aqua Security ดึงความสนใจไปที่ความเป็นไปได้ของการโจมตีผู้ใช้ชุดแจกจ่าย Ubuntu โดยใช้คุณสมบัติการใช้งานของตัวจัดการ "ไม่พบคำสั่ง" ซึ่งให้คำแนะนำหากมีความพยายามในการเปิดโปรแกรมที่ ไม่อยู่ในระบบ ปัญหาคือเมื่อประเมินคำสั่งให้รันที่ไม่มีอยู่ในระบบ "ไม่พบคำสั่ง" ไม่เพียงใช้แพ็คเกจจากที่เก็บมาตรฐานเท่านั้น แต่ยังใช้แพ็คเกจ snap จากไดเร็กทอรี snapcraft.io เมื่อเลือกคำแนะนำ
เมื่อสร้างคำแนะนำตามเนื้อหาของไดเร็กทอรี snapcraft.io ตัวจัดการ "ไม่พบคำสั่ง" จะไม่คำนึงถึงสถานะแพ็คเกจและครอบคลุมเฉพาะแพ็คเกจที่เพิ่มในไดเร็กทอรีโดยผู้ใช้ที่ไม่ได้รับการยืนยันเท่านั้น ดังนั้น ผู้โจมตีสามารถใส่แพ็คเกจ snapcraft.io ที่มีเนื้อหาที่เป็นอันตรายซ่อนอยู่และชื่อที่ทับซ้อนกับแพ็คเกจ DEB ที่มีอยู่ โปรแกรมที่ไม่ได้อยู่ในพื้นที่เก็บข้อมูล หรือแอปพลิเคชันสมมติที่มีชื่อสะท้อนถึงการพิมพ์ผิดทั่วไปและข้อผิดพลาดของผู้ใช้เมื่อพิมพ์ชื่อ ของสาธารณูปโภคยอดนิยม
ตัวอย่างเช่น คุณสามารถวางแพ็คเกจ "tracert" และ "tcpdamp" โดยคาดหวังว่าผู้ใช้จะทำผิดพลาดเมื่อพิมพ์ชื่อของยูทิลิตี้ "traceroute" และ "tcpdump" และจะแนะนำ "ไม่พบคำสั่ง" การติดตั้งแพ็คเกจที่เป็นอันตรายที่ผู้โจมตีวางจาก snapcraft.io ผู้ใช้อาจไม่สังเกตเห็นสิ่งที่จับได้และคิดว่าระบบแนะนำเฉพาะแพ็คเกจที่ได้รับการพิสูจน์แล้วเท่านั้น ผู้โจมตียังสามารถวางแพ็คเกจใน snapcraft.io ซึ่งมีชื่อทับซ้อนกับแพ็คเกจ deb ที่มีอยู่ ซึ่งในกรณีนี้ “ไม่พบคำสั่ง” จะให้คำแนะนำสองประการสำหรับการติดตั้ง deb และ snap และผู้ใช้สามารถเลือก snap ได้ โดยพิจารณาว่ามีความปลอดภัยมากกว่า หรือล่อลวงโดยเวอร์ชันที่ใหม่กว่า
แอพ Snap ที่ snapcraft.io อนุญาตให้มีการตรวจสอบอัตโนมัติสามารถทำงานได้ในสภาพแวดล้อมที่แยกออกมาเท่านั้น (Snap ที่ไม่ได้แยกจะถูกเผยแพร่หลังจากการตรวจสอบด้วยตนเองเท่านั้น) ผู้โจมตีอาจเพียงพอในการดำเนินการในสภาพแวดล้อมที่แยกจากกันด้วยการเข้าถึงเครือข่าย เช่น ขุดเหมืองสกุลเงินดิจิตอล ทำการโจมตี DDoS หรือส่งสแปม
ผู้โจมตียังสามารถใช้เทคนิคการแยกบายพาสในแพ็คเกจที่เป็นอันตราย เช่น การใช้ช่องโหว่ที่ไม่ได้รับแพตช์ในเคอร์เนลและกลไกการแยก การใช้อินเทอร์เฟซแบบสแนปเพื่อเข้าถึงทรัพยากรภายนอก (สำหรับการบันทึกเสียงและวิดีโอที่ซ่อนอยู่) หรือจับอินพุตคีย์บอร์ดเมื่อใช้โปรโตคอล X11 ( สำหรับการสร้างคีย์ล็อกเกอร์ที่ทำงานในสภาพแวดล้อมแซนด์บ็อกซ์)
ที่มา: opennet.ru