கேடிஇ ஸ்டோர், ஓபன் டெஸ்க்டாப், ஆப்இமேஜ் மற்றும் பிற கடைகளை பாதிக்கும் பிளிங்கில் ஒரு பாதிப்பை அவர்கள் கண்டுபிடித்தனர்

பேர்லினிலிருந்து ஒரு தொடக்க தொலை குறியீடு செயல்படுத்தல் பாதிப்பை வெளிப்படுத்தியுள்ளது (RCE) மற்றும் குறுக்கு தள ஸ்கிரிப்ட் (XSS) குறைபாடு பிளிங்கில், இது இந்த இயங்குதளத்தில் கட்டப்பட்ட பல்வேறு பயன்பாட்டு பட்டியல்களில் பயன்படுத்தப்படுகிறது மற்றும் இது பிற பயனர்களின் சூழலில் ஜாவாஸ்கிரிப்ட் குறியீட்டை இயக்க அனுமதிக்கும். பாதிக்கப்பட்ட தளங்கள் சில முக்கிய இலவச மென்பொருள் பயன்பாட்டு பட்டியல்கள் store.kde.org, appimagehub.com, gnome-look.org, xfce-look.org, pling.com போன்றவை.

துளைகளைக் கண்டறிந்த நேர்மறை பாதுகாப்பு, பிழைகள் பிளிங் குறியீட்டில் இன்னும் உள்ளன என்றும், அதன் பராமரிப்பாளர்கள் பாதிப்பு அறிக்கைகளுக்கு பதிலளிக்கவில்லை என்றும் கூறினார்.

இந்த ஆண்டின் தொடக்கத்தில், பிரபலமான டெஸ்க்டாப் பயன்பாடுகள் பயனர் வழங்கிய URI களை எவ்வாறு கையாளுகின்றன என்பதைப் பார்த்தோம், அவற்றில் பலவற்றில் குறியீடு செயல்படுத்தல் பாதிப்புகளைக் கண்டறிந்தோம். நான் சோதித்த பயன்பாடுகளில் ஒன்று கே.டி.இ டிஸ்கவர் ஆப் ஸ்டோர் ஆகும், இது நம்பத்தகாத யுஆர்ஐக்களை பாதுகாப்பற்ற முறையில் கையாள முடிந்தது (சி.வி.இ -2021-28117, கே.டி.இ பாதுகாப்பு ஆலோசனை).

வழியில், மற்ற இலவச மென்பொருள் சந்தைகளில் இன்னும் பல கடுமையான பாதிப்புகளை நான் விரைவில் கண்டேன்.

பிளிங்-அடிப்படையிலான சந்தைகளில் விநியோக சங்கிலி தாக்குதல்களுக்கான சாத்தியக்கூறுகள் மற்றும் பிளிங்ஸ்டோர் பயன்பாட்டு பயனர்களை பாதிக்கும் ஒரு டிரைவ்-பை ஆர்.சி.இ.

படைப்பாளிகள் கருப்பொருள்கள் மற்றும் கிராபிக்ஸ் பதிவேற்றுவதற்கான சந்தையாக பிளிங் தன்னை முன்வைக்கிறது லினக்ஸ் டெஸ்க்டாப், மற்றவற்றுடன், ஆதரவாளர்களிடமிருந்து சிறிது லாபம் கிடைக்கும் என்று நம்புகிறது. இது இரண்டு பகுதிகளாக வருகிறது: தங்களது சொந்த ப்ளிங் பஜார் மற்றும் எலக்ட்ரான் அடிப்படையிலான பயன்பாட்டை இயக்கத் தேவையான குறியீடு, பயனர்கள் தங்கள் கருப்பொருள்களை ஒரு பிளிங் சூக்கிலிருந்து நிர்வகிக்க நிறுவலாம். வலை குறியீட்டில் XSS உள்ளது மற்றும் கிளையண்டில் XSS மற்றும் ஒரு RCE உள்ளது. Pling.com மற்றும் store.kde.org முதல் gnome-look.org மற்றும் xfce-look.org வரை பல தளங்களை பிளிங் செய்கிறது.

பிரச்சினையின் சாராம்சம் அது மேடை HTML வடிவத்தில் மல்டிமீடியா தொகுதிகள் சேர்க்க பிளிங் அனுமதிக்கிறது, எடுத்துக்காட்டாக, YouTube வீடியோ அல்லது படத்தைச் செருக. படிவத்தின் மூலம் சேர்க்கப்பட்ட குறியீடு சரிபார்க்கப்படவில்லை சரியாக, என்ன ஒரு படத்தின் போர்வையில் தீங்கிழைக்கும் குறியீட்டைச் சேர்க்க உங்களை அனுமதிக்கிறது பார்க்கும்போது ஜாவாஸ்கிரிப்ட் குறியீடு இயக்கும் கோப்பகத்தில் தகவலை வைக்கவும். கணக்கு வைத்திருக்கும் பயனர்களுக்கு தகவல் திறக்கப்படும் என்றால், இந்த பயனரின் சார்பாக கோப்பகத்தில் நடவடிக்கைகளைத் தொடங்கலாம், அவற்றின் பக்கங்களில் ஜாவாஸ்கிரிப்ட் அழைப்பைச் சேர்ப்பது, ஒரு வகையான பிணைய புழுவைச் செயல்படுத்துவது உட்பட.

கூடுதலாக, பிளிங்ஸ்டோர் பயன்பாட்டில் ஒரு பாதிப்பு அடையாளம் காணப்பட்டுள்ளது, எலக்ட்ரான் இயங்குதளத்தைப் பயன்படுத்தி எழுதப்பட்டு, உலாவி இல்லாமல் ஓப்பன் டெஸ்க்டாப் கோப்பகங்கள் வழியாக செல்லவும், அங்கு வழங்கப்பட்ட தொகுப்புகளை நிறுவவும் உங்களை அனுமதிக்கிறது. பிளிங்ஸ்டோரில் ஒரு பாதிப்பு அதன் குறியீட்டை பயனரின் கணினியில் இயக்க அனுமதிக்கிறது.

பிளிங்ஸ்டோர் பயன்பாடு இயங்கும்போது, ​​ocs-manager செயல்முறை கூடுதலாக தொடங்கப்படுகிறது, வெப்சாக்கெட் மூலம் உள்ளூர் இணைப்புகளை ஏற்றுக்கொள்வது மற்றும் AppImage வடிவத்தில் பயன்பாடுகளை ஏற்றுவது மற்றும் தொடங்குவது போன்ற கட்டளைகளை செயல்படுத்துகிறது. கட்டளைகள் பிளிங்ஸ்டோர் பயன்பாட்டால் அனுப்பப்பட வேண்டும், ஆனால் உண்மையில், அங்கீகாரம் இல்லாததால், பயனரின் உலாவியில் இருந்து ocs-manager க்கு ஒரு கோரிக்கையை அனுப்ப முடியும். ஒரு பயனர் தீங்கிழைக்கும் தளத்தைத் திறந்தால், அவர்கள் ocs-manager உடன் இணைப்பைத் தொடங்கலாம் மற்றும் பயனரின் கணினியில் குறியீட்டை இயக்கலாம்.

Extensions.gnome.org கோப்பகத்தில் ஒரு XSS பாதிப்பு தெரிவிக்கப்படுகிறது; சொருகி முகப்புப் பக்கத்தின் URL உடன் புலத்தில், நீங்கள் ஜாவாஸ்கிரிப்ட் குறியீட்டை "ஜாவாஸ்கிரிப்ட்: குறியீடு" வடிவத்தில் குறிப்பிடலாம், மேலும் நீங்கள் இணைப்பைக் கிளிக் செய்யும் போது, ​​திட்ட தளத்தைத் திறப்பதற்கு பதிலாக குறிப்பிட்ட ஜாவாஸ்கிரிப்ட் தொடங்கப்படும்.

ஒருபுறம், சிக்கல் மிகவும் ஊகமானது, extnsions.gnome.org கோப்பகத்தில் உள்ள இடம் மிதமானதாக இருப்பதால், தாக்குதலுக்கு ஒரு குறிப்பிட்ட பக்கத்தைத் திறப்பது மட்டுமல்லாமல், இணைப்பைக் கிளிக் செய்வதும் தேவைப்படுகிறது. மறுபுறம், சரிபார்ப்பின் போது, ​​மதிப்பீட்டாளர் திட்ட தளத்திற்குச் செல்ல விரும்பலாம், இணைப்பு படிவத்தை புறக்கணிக்கலாம் மற்றும் ஜாவாஸ்கிரிப்ட் குறியீட்டை அவர்களின் கணக்கின் சூழலில் இயக்கலாம்.

இறுதியாக, நீங்கள் இதைப் பற்றி மேலும் அறிய ஆர்வமாக இருந்தால், நீங்கள் ஆலோசிக்கலாம் பின்வரும் இணைப்பில் உள்ள விவரங்கள்.