فائلوں کی فہرست دیکھتے وقت KDE کوڈ پر عمل درآمد کا خطرہ
В KDE شناخت کیاکمزوری, позволяющая атакующему выполнить произвольные команды при просмотре пользователем каталога или архива, содержащего специально оформленные файлы «.desktop» и «.directory». Для атаки достаточно, чтобы пользователь просто просмотрел список файлов в файловом менеджере Dolphin, загрузил вредоносный desktop-файл или перетащил мышью ярлык на рабочий стол или в документ. Проблема проявляется в актуальном выпуске библиотек KDE فریم ورک 5.60.0 и более старых версиях, вплоть до KDE 4. Уязвимость пока باقیغیر درست (CVE не присвоен).
Проблема вызвана некорректной реализацией класса KDesktopFile, который при обработке переменной «Icon» без должного экранирования передаёт значение в функцию KConfigPrivate::expandString(), которая выполняет раскрытие спецсимволов shell, в том числе обрабатывая строки «$(..)» как подлежащие исполнению команды. Вопреки требованиям спецификации XDG выполнение انکشاف shell-конструкций производится без разделения типа настроек, т.е. не только при определении командной строки запускаемого приложения, но и при указании отображаемых по умолчанию пиктограмм.
Например, для атаки کافی отправить пользователю zip-архив с каталогом, содержащим файл «.directory» вида: