Den "mindre" kommando, der giver dig mulighed for at se filer indhold downloadet fra internettet i Linux kan synes at være en ganske farlig funktion efter sikkerhedsspecialister.
Hvad er Lesspipe
Funktionen ser harmløse ved første øjekast, giver brugerne mulighed for at åbne filen i et terminalvindue og rulle frem og tilbage gennem dens indhold. Funktionen er ikke nyttigt at indgive redactors, da det ikke tillader brugere at manipulere filen, men har en fordel i at vise indholdet fil uden at optage hukommelse resurser, som kan være meget nyttige for store filer.
Det er normalt bruges til tekstfiler visning men mange Linux-distributioner, ligesom Ubuntu og CentOS f.eks, støtte langt flere typer som arkiv, billede og PDF dem. Dette er aktiveret som et script kode, kaldet lesspipe, som bygger på tredjepartsprogrammer.
Sårbarheder
Selvom værktøjet ikke er designet med ondsindede hensigter i tankerne, test udført af en Google-sikkerhed ingeniør – Michal Zalewski viste, at systemet er underlagt sårbarheder, hvis en forkert script kode er input i programmet.
Dette kan føre til hukommelse bugs og programmet ydeevne kan medføre kørsel af vilkårlig kode. Selvom fejlen har optrådt i en enkelt anmodning i CPIO fil arkivering program, forskerne tror, at sådan kan forekomme i andre programmer samt.
"Selv om det er en enkelt fejl i cpio, Jeg har ingen tvivl om, at mange af de andre lesspipe programmer er lige så problematisk eller værre. I en tråd går, folk begyndte straks påpege andre spørgsmål ", Zalewski skrev i et indlæg om emnet.
Efter at dele sin mistanke med den brede offentlighed, andre brugere begynder kommentere de samme resultater samt. De redskaber, der kan anvendes til at påvise sårbarheder er ganske svag og langsom selv og kan tage en masse tid til at udføre test. Det vil kræve en stor indsats fra udviklere såvel.
"På dette tidspunkt, mit bedste råd ville være for brugerne til at slå LESSOPEN og LESSCLOSE hvis fastsat af deres distributioner. ", Zalewski sagde.
Det forekommer på udkig efter sårbarheder i open source-systemer vinder hastighed i det øjeblik. Begyndelsen var sandsynligvis forskeres resultater vedrørende Bash Unix shell fra denne September. Sidste måned Zalewski fundet en anden sårbarhed ved at indgå en fjernkørsel i biblioteket, der anvendes af objdump og readelf. Adskillige dage senere sådan blev fundet i kommandoen programmer Wget og tnftp.
Her er hvad lesspipe støtter Linux Ubuntu og hvad du skal være opmærksom på, hvis du bruger værktøjet: *.Opladning, *.er, *.bz, *.bz2, *.deb, *.doc, *.dz, *.gif, *.gz, *.iso, *.krukke, *.jpeg, *.jpg, *.LHA, *.LZH, *.PCD, *.PDF, *.png, *.rar, *.rå, *.rpm, *.tager, *.tar.bz2, *.tar.dz, *.tar.gz, *.tar.Z, *.tga, *.tgz, *.tif, *.tiff, *.udeb, *.var, *.XPI, *.Fra, *.zoo.
