Onderzoekers van Positive Security ontdekten een niet-gepatchte opgeslagen cross-site-scripting (XSS) fout die van invloed is op Linux-marktplaatsen.
De kwetsbaarheid creëert de mogelijkheid van ongecontroleerde, ontwormbaar aanvallen in de toeleveringsketen. Getroffen zijn op Pling gebaseerde marktplaatsen, zoals AppImage Hub, Kabouter-look, KDE Ontdek App Store, Pling.com, en XFCE-look.
Verwant: 7-Jaar-oude polkit-bug beïnvloedt sommige Linux-distributies
“De native PlingStore-applicatie is getroffen door een RCE-kwetsbaarheid, die vanaf elke website kan worden geactiveerd terwijl de app actief is,', aldus het onderzoeksrapport.
Het is opmerkelijk dat de onderzoekers het Pling-team niet konden bereiken, en dus, ze besloten hun bevindingen te publicerenpublish. Echter, de teams van KDE Discover en Gnome Shell Extension hebben snel andere, minder ernstige fouten verholpen die aan hen werden gemeld.
Hoe hebben de onderzoekers de Pling-kwetsbaarheid ontdekt??
De onderzoekers analyseerden onlangs de manier waarop populaire desktop-apps omgaan met door gebruikers geleverde URI's, wat leidde tot de ontdekking van RCE-fouten in verschillende apps. Een van deze apps was KDE Discover App Store, die werd geïdentificeerd met de kwetsbaarheid CVE-2021-28117.
libdiscover/backends/KNSBackend/KNSResource.cpp in KDE Eerder ontdekken 5.21.3 maakt automatisch links naar potentieel gevaarlijke URL's (die geen https . zijn:// noch http://) gebaseerd op de inhoud van de website store.kde.org. (5.18.7 is ook een vaste versie.), de officieel adviesorgaan onthult.
Tijdens het onderzoek, andere kwetsbaarheden in FOSS-marktplaatsen werden ook ontdekt.
“Een wormbare XSS met potentieel voor supply chain-aanvallen op Pling-gebaseerde marktplaatsen, en een drive-by RCE die gebruikers van de PlingStore-applicatie treft, kan nog steeds worden misbruikt vanaf 2021-06-22”, aldus het rapport..
De kwetsbaarheid van PlingStore
De PlingStore-app bevat ook een XSS-fout, die kan worden geëscaleerd naar uitvoering van externe code.
Deze escalatie is mogelijk omdat de app standaard andere apps kan installeren, met behulp van een ingebouwd mechanisme dat code uitvoert op OS-niveau. Datzelfde mechanisme kan door elke website worden misbruikt om willekeurige native code uit te voeren, met de voorwaarde dat de PlingStore-app op de achtergrond is geopend.
Zodra de XSS is geactiveerd in de app, de payload kan een verbinding maken met de lokale WebSocker-server, dus berichten verzenden om RCE . uit te voeren. Dit wordt gedaan door een AppImage-bestand te downloaden en uit te voeren, de onderzoekers verklaard.
Hoe zit het met browsers??
Browsers implementeren het Same-origin-beleid niet voor WebSocket-verbindingen. Daarom, het is belangrijk om de oorspronkelijke server-side te valideren of aanvullende authenticatie te implementeren via de WebSocket-verbinding. Met ocs-manager, Dit is niet het geval, wat betekent dat elke website in elke browser een verbinding met de WebSocket-server kan starten, en ocs-manager accepteert met plezier alle verzonden commando's, het verslag wordt opgemerkt.
Zijn er patches beschikbaar??
Helaas, de onderzoekers konden de teams achter Pling/OpenDesktop/hive01 GmbH niet bereiken; daarom hebben ze de bevindingen openbaar gemaakt om gebruikers te waarschuwen voor de bestaande problemen.
Milena Dimitrova
Een bevlogen schrijver en contentmanager die sinds de start van het project bij SensorsTechForum werkt. Een professional met 10+ jarenlange ervaring in het creëren van boeiende inhoud. Gericht op de privacy van gebruikers en malware ontwikkeling, ze gelooft sterk in een wereld waar cybersecurity speelt een centrale rol. Als het gezond verstand heeft geen zin, ze zullen er zijn om aantekeningen te maken. Deze toelichtingen kunnen later om te zetten in artikelen! Volg Milena @Milenyim
Volg mij: