パッチが適用されていないRCEバグがPlingStoreに影響を与える, Linuxマーケットプレイス

ポジティブセキュリティの研究者は、パッチが適用されていない保存されたクロスサイトスクリプティングを発見しました (XSS) Linuxマーケットプレイスに影響を与える欠陥.

この脆弱性により、チェックされていない可能性があります, ワーム可能 サプライチェーン攻撃. Plingベースのマーケットプレイスが影響を受けます, AppImageハブなど, Gnome-Look, KDE Discover App Store, Pling.com, およびXFCE-Look.

関連している: 7-1年前のpolkitバグが一部のLinuxディストリビューションに影響を与える

「ネイティブのPlingStoreアプリケーションはRCEの脆弱性の影響を受けます, これは、アプリの実行中に任意のWebサイトからトリガーできます,」研究者の報告によると.

研究者がPlingチームに連絡できなかったことは注目に値します, したがって, 彼らは調査結果を公開することにしました. でも, KDEDiscoverチームとGnomeShellExtensionチームは、報告された他の重大度の低い欠陥をすばやく修正しました.

研究者はどのようにしてPlingの脆弱性を発見しましたか?

研究者たちは最近、人気のあるデスクトップアプリがユーザー提供のURIを処理する方法を分析しました, これにより、いくつかのアプリでRCEの欠陥が発見されました. これらのアプリの1つは、KDE DiscoverAppStoreでした。, これはCVE-2021-28117の脆弱性で識別されました.

KDEのlibdiscover/backends / KNSBackend / KNSResource.cpp Discover before 5.21.3 潜在的に危険なURLへのリンクを自動的に作成します (どちらでもないhttps:// http://) store.kde.orgWebサイトのコンテンツに基づく. (5.18.7 修正版でもあります。), the 公式アドバイザリー 明らかに.

研究中, FOSSマーケットプレイスの他の脆弱性も発見されました.

「Plingベースのマーケットプレイスへのサプライチェーン攻撃の可能性があるワーム可能なXSS, また、PlingStoreアプリケーションのユーザーに影響を与えるドライブバイRCEは、2021-06-22の時点でも引き続き悪用可能です」とレポートは述べています。.

PlingStoreの脆弱性

PlingStoreアプリにはXSSの欠陥も含まれています, にエスカレーションできます リモートコード実行.

アプリはデフォルトで他のアプリをインストールできるため、このエスカレーションが可能です, OSレベルでコードを実行する組み込みメカニズムを使用する. 同じメカニズムを任意のWebサイトで悪用して、任意のネイティブコードを実行できます, PlingStoreアプリがバックグラウンドで開いていることを条件に.

XSSがアプリ内でトリガーされると, ペイロードはローカルWebSockerサーバーへの接続を作成できます, したがって、RCEを実行するためのメッセージを送信します. これは、AppImageファイルをダウンロードして実行することによって行われます。, 研究者は説明した.

ブラウザはどうですか?

ブラウザは、WebSocket接続の同一生成元ポリシーを実装していません. したがって, オリジンサーバー側を検証するか、WebSocket接続を介して追加の認証を実装することが重要です. ocs-managerを使用, これはそうではありません, これは、任意のブラウザーの任意のWebサイトがWebSocketサーバーへの接続を開始できることを意味します, ocs-managerは、送信されたコマンドを喜んで受け入れます, 報告書は指摘しました.

パッチはありますか?
不運にも, 研究者は、Pling / OpenDesktop /hive01GmbHの背後にあるチームに連絡できませんでした; したがって、彼らは既存の問題についてユーザーに警告するために調査結果を公開しました.