De "minder" commando waarmee u de bestanden inhoud gedownload van het internet in Linux te zien lijken te nogal een gevaarlijke eigenschap zijn volgens veiligheid specialisten.
Wat is lesspipe
De functie ziet er onschuldig op het eerste gezicht, zodat gebruikers het bestand te openen in een terminal venster en ga heen en weer door de inhoud ervan. De functie is niet nuttig om redactors bestand, want het staat niet toe dat gebruikers in staat om het bestand te manipuleren, maar heeft een voordeel in het tonen van de inhoud van het bestand, zonder toegang tot het geheugen gedaan beroep die zeer nuttig zijn voor grote bestanden kunnen worden.
Het wordt meestal gebruikt voor tekstbestanden bekijken, maar veel Linux-distributies, zoals Ubuntu en CentOS bijvoorbeeld, ondersteunen veel meer types zoals archief, beeld- en PDF degenen. Dit wordt mogelijk gemaakt door een script code, riep lesspipe, die zich baseert op toepassingen van derden.
Kwetsbaarheden
Hoewel het instrument niet is ontworpen met kwaadaardige bedoelingen in het achterhoofd, -test uitgevoerd door een Google-security engineer – Michal Zalewski toonde aan dat het systeem is onderhevig aan kwetsbaarheden als een verkeerde script code wordt ingevoerd in het programma.
Dit kan leiden tot het geheugen bugs en de prestaties van het programma kan leiden tot het uitvoeren van willekeurige code. Hoewel de bug is verschenen in een enkele aanvraag in het CPIO bestand archivering programma, De onderzoekers denken dat een dergelijke kunnen verschijnen in andere programma's en.
"Hoewel het een enkele bug in cpio, Ik heb geen twijfel dat veel van de andere lesspipe programma's zijn even problematisch of erger. In een thread gisteren, mensen meteen begon te wijzen op andere problemen ", Zalewski schreef in een post op het onderwerp.
Na het delen van zijn vermoedens met het brede publiek, andere gebruikers starten commentaar op dezelfde bevindingen als goed. De gereedschappen die kunnen worden gebruikt om kwetsbaarheden detecteren zijn vrij zwak en traag hoewel en kan veel tijd proeven worden uitgevoerd nemen. Dit zal veel inspanningen van ontwikkelaars vereisen alsook.
"Op dit punt, Mijn beste advies zou zijn voor gebruikers om LESSOPEN uitgeschakeld en LESSCLOSE indien ingesteld door hun distro's. ", Zalewski zei.
Het lijkt op zoek naar kwetsbaarheden in open-source systemen is het verkrijgen van de snelheid op het moment. Het begin was waarschijnlijk bevindingen van onderzoekers op de Bash Unix shell van deze september. Vorige maand Zalewski vond een ander beveiligingslek door het uitvoeren van een externe code in de bibliotheek gebruikt door objdump en readelf. Enkele dagen later zoals gevonden in de commando's Wget en tnftp.
Hier is wat lesspipe ondersteunt in Linux Ubuntu en wat je alert moet zijn over als je met behulp van de functie: *.Opladen, *.ben, *.bz, *.bz2, *.deb, *.doc, *.dz, *.gif, *.gz, *.iso, *.pot, *.jpeg, *.jpg, *.LHA, *.LZH, *.PCD, *.PDF, *.png, *.rar, *.rauw, *.rpm, *.neemt, *.tar.bz2, *.tar.dz, *.tar.gz, *.tar.Z, *.tga, *.tgz, *.tif, *.tiff, *.udeb, *.was, *.XPI, *.Uit, *.dierentuin.
