Bilaabasho ka timid Berlin ayaa shaaca ka qaaday nuglaanta fulinta koodhka fulinta (RCE) iyo cillad dhanka qoraalka ah (XSS) cillad - Pling, kaas oo loo adeegsado buugaag codsiyo kala duwan oo lagu dhisay barnaamijkan oo u oggolaan kara lambarka JavaScript in lagu fuliyo macnaha guud ee isticmaaleyaasha kale. Goobaha ay dhibaatadu saameysey ayaa ka mid ah buugaagta ugu waaweyn ee lagu codsado barnaamijyada software-ka sida store.kde.org, appimagehub.com, gnome-look.org, xfce-look.org, pling.com iyo kuwa kale.
Positive Security, oo helay godadka, ayaa sheegay in cayayaanka ay wali kujiraan nambarka doorashada isla markaana ilaaliyayaasheeda aysan ka jawaabin warbixinnada nuglaanta.
Horaantii sanadkan, waxaan eegnay sida barnaamijyada desktop-ka ee caanka ah ay ula macaamilaan URI-yada la adeegsado oo aan u helno nuglaanta fulinta nuglaanshaha dhowr ka mid ah. Mid ka mid ah barnaamijyada aan baaray ayaa ahaa KDE Discover App Store, kaas oo u soo baxay in lagu maareeyo URI-yada aan la aamini karin si aan amni ahayn (CVE-2021-28117, KDE Security Advisory).
Intii aan ku soo jiray, waxaan si dhakhso leh uga helay nuglaansho badan oo halis ah suuqyada kale ee software-ka ee bilaashka ah.
XSS dirxi ah oo leh suurtagalnimada weerarada silsiladda silsiladaha ee suuqyada ku saleysan Pling iyo wadista-RCE-ga saameynaya isticmaaleyaasha dalabka PlingStore wali waa laga faa'iideysan karaa.
Pling waxay isu soo bandhigaysaa inay tahay goob suuq loogu talagalay hal-abuurka si loogu soo rogo mowduucyada iyo sawirada Desktop Linux, iyo waxyaabo kale, oo rajeynaya in xoogaa faa'iido ah laga helo taageerayaasha. Waxay ku timaaddaa laba qaybood: nambarka loo baahan yahay in lagu socodsiiyo balashooda iyo codsi elektiroonig ah oo adeegsadayaashu ku rakibi karaan si ay u maareeyaan mawduucyadooda Pling souk. Koodhka websaydhku wuxuu leeyahay XSS macmiilkuna wuxuu leeyahay XSS iyo RCE. Pling waxay awood siisaa dhowr goobood, laga bilaabo pling.com iyo store.kde.org ilaa gnome-look.org iyo xfce-look.org.
Nuxurka dhibaatada taasi waa madal Pling waxay u oggolaaneysaa in lagu daro iskuulada multimedia ee qaabka HTML, tusaale ahaan, si aad u geliso fiidiyoow ama muuqaal YouTube ah. Koodhka lagu daray foomka lama ansaxinayo si sax ah, waa maxay wuxuu kuu ogolaanayaa inaad ku darto koodh xaasidnimo ku hoos qarsoon sawir oo ku rid macluumaadka galka uu koodhka JavaScript fulin doono markii la arko. Haddii macluumaadka loo furi doono isticmaaleyaasha koonto haysta, markaa waa suurtagal in la bilaabo ficillada kujira galka asagoo matalaya isticmaalehan, oo ay ku jiraan ku darista wicitaanka JavaScript ee boggooda, hirgelinta nooc dixiriga shabakad ah.
Intaa waxaa dheer, u nuglaanta ayaa lagu aqoonsaday arjiga PlingStore, ku qoran adoo adeegsanaya barta elektaroonigga ah isla markaana kuu oggolaanaysa inaad dhex mushaaxdo tusaha OpenDesktop adigoon lahayn biraawsar isla markaana aad rakibi karto xirmooyinka halkaas lagu soo bandhigay. U nuglaanta PlingStore waxay u oggolaaneysaa koodhkeeda inuu ku shaqeeyo nidaamka isticmaalaha.
Marka codsiga PlingStore uu socdo, nidaamka ocs-manager ayaa intaa dheer oo la bilaabay, aqbalida iskuxirka maxaliga ah adoo adeegsanaya WebSocket iyo socodsiinta amarrada sida rarista iyo bilaabida codsiyada qaabka AppImage. Amarada waxaa loo maleynayaa in lagu gudbiyo arjiga PlingStore, laakiin xaqiiqda, xaqiijin la'aanta awgeed, codsi ayaa loo diri karaa ocs-maareeyaha isticmaalaha biraawsarka. Haddii isticmaaluhu furo bog xun, waxay bilaabi karaan xiriir ay la yeeshaan ocs-manager isla markaana ay koodhku ku shaqeeyaan nidaamka isticmaalaha.
U nuglaanta XSS ayaa sidoo kale lagu soo sheegay buuga kordhinta.gnome.org; Beerta oo leh URL-ka bogga hoyga plugin, waxaad ku qeexi kartaa lambarka JavaScript qaabka "javascript: code" oo markaad gujiso xiriirka, JavaScript-ka la cayimay ayaa la bilaabi doonaa halkii laga furi lahaa goobta mashruuca.
Dhinaca kale, dhibaatadu waa mid mala-awaal ah, Maaddaama goobta ku taal buugga loo yaqaan 'extensions.gnome.org' la dhexdhexaadinayo oo weerarku u baahan yahay oo keliya furitaanka bog cayiman, laakiin sidoo kale guji cad oo ku saabsan xiriirka. Dhanka kale, inta lagu gudajiro xaqiijinta, qaabeeyaha ayaa laga yaabaa inuu rabo inuu aado goobta mashruuca, iska indhatiro foomka iskuxirka, oo uu maamulo lambarka JavaScript ee kujira macnaha akoontigooda.
Ugu dambeyntiina, haddii aad xiiseyneyso inaad wax badan ka ogaato, waad la tashan kartaa faahfaahinta xiriiriyaha soo socda.