KDE Linux Desktops Dapat Diretas Tanpa Membuka File Berbahaya - Otak Kita

KDE Linux Desktops Dapat Diretas Tanpa Membuka File Berbahaya



Otak Kita - Jika Anda menjalankan lingkungan desktop KDE pada sistem operasi Linux Anda, Anda harus ekstra hati-hati dan menghindari mengunduh file ".desktop" atau ".directory" untuk sementara waktu.

Seorang peneliti cybersecurity telah mengungkapkan kerentanan zero-day yang tidak ditambal dalam kerangka kerja perangkat lunak KDE yang dapat memungkinkan file .desktop dan .directory yang dibuat secara jahat menjalankan kode sewenang-wenang di komputer pengguna — bahkan tanpa mengharuskan korban untuk benar-benar membukanya.

KDE Plasma adalah salah satu lingkungan desktop berbasis open-source widget yang paling populer untuk pengguna Linux dan hadir sebagai lingkungan desktop default pada banyak distribusi Linux, seperti Manjaro, openSUSE, Kubuntu, dan PCLinuxOS.

Peneliti keamanan Dominik Penner yang menemukan kerentanan menghubungi The Hacker News, menginformasikan bahwa ada kerentanan injeksi perintah di desktop KDE 4/5 Plasma karena cara KDE menangani file .desktop dan .directory.

"Ketika file .desktop atau .directory dipakai, ia secara tidak aman mengevaluasi variabel lingkungan dan ekspansi shell menggunakan KConfigPrivate :: expandString () melalui fungsi KConfigGroup :: readEntry ()," kata Penner .




Mengeksploitasi kelemahan ini, yang memengaruhi paket KDE Frameworks 5.60.0 dan di bawahnya, sederhana dan melibatkan beberapa rekayasa sosial karena penyerang perlu mengelabui pengguna KDE agar mengunduh arsip yang berisi file .desktop atau .directory berbahaya.

    "Menggunakan file .desktop yang dibuat khusus pengguna jarak jauh dapat dikompromikan dengan hanya mengunduh dan melihat file dalam file manager mereka, atau dengan menyeret dan menjatuhkan tautannya ke dalam dokumen atau desktop mereka," jelas peneliti.
    "Secara teoritis, jika kita dapat mengontrol entri konfigurasi dan memicu pembacaannya, kita dapat mencapai injeksi perintah / RCE." 


Sebagai bukti konsep, Penner juga menerbitkan kode exploit untuk kerentanan bersama dengan dua video yang berhasil menunjukkan skenario serangan mengeksploitasi kerentanan KDE KDesktopFile Command Injection.

Tampaknya, peneliti tidak melaporkan kerentanan kepada pengembang KDE sebelum menerbitkan rincian dan eksploitasi PoC, kata Komunitas KDE sambil mengakui kerentanan dan meyakinkan pengguna bahwa perbaikan sedang dilakukan.

    "Juga, jika Anda menemukan kerentanan serupa, yang terbaik adalah mengirim email security@kde.org sebelum mempublikasikannya. Ini akan memberi kami waktu untuk menambalnya dan menjaga pengguna tetap aman sebelum orang jahat mencoba untuk mengeksploitasinya," KDE Kata komunitas. 


Sementara itu, pengembang KDE merekomendasikan pengguna untuk "menghindari mengunduh file .desktop atau .directory dan mengekstraksi arsip dari sumber yang tidak dipercaya," untuk sementara waktu sampai kerentanannya ditambal.

Pembaruan - KDE v5.61.0 Patches Kerentanan Perintah Injeksi

Pengembang KDE telah memperbaiki kerentanan ini dengan menghapus seluruh fitur yang mendukung perintah shell dalam file KConfig, sebuah fitur yang disengaja yang disediakan oleh KDE untuk konfigurasi yang fleksibel.

Menurut pengembang, KConfig dapat disalahgunakan oleh penjahat untuk membuat pengguna KDE "menginstal file seperti itu dan mendapatkan kode yang dieksekusi bahkan tanpa tindakan yang disengaja oleh pengguna."

    "Manajer file yang mencoba mencari tahu ikon untuk file atau direktori dapat berakhir mengeksekusi kode, atau aplikasi apa pun yang menggunakan KConfig dapat berakhir mengeksekusi kode berbahaya selama fase startup misalnya," kata KDE dalam penasihat keamanannya yang dirilis Rabu.

    "Setelah mempertimbangkan dengan saksama, seluruh fitur perintah shell yang mendukung dalam entri KConfig telah dihapus, karena kami tidak dapat menemukan use case aktual untuknya. Jika Anda memiliki penggunaan yang ada untuk fitur tersebut, silakan hubungi kami sehingga kami dapat mengevaluasi apakah mungkin untuk memberikan solusi yang aman. " 


Pengguna disarankan untuk memperbarui ke versi 5.61.0 dari KDE Frameworks 5, sementara pengguna di kdelibs disarankan untuk menerapkan tambalan untuk kdelibs 4.14 yang disediakan dalam saran Proyek KDE.

Iklan Atas Artikel

Iklan Tengah Artikel 1

Iklan Tengah Artikel 2

Iklan Bawah Artikel