RCE v GNOME, bezpečnostní chyba CVE-2023-43641 v libcue, stačí kliknout na odkaz

Byly zveřejněny informace o vážné bezpečnostní chybě CVE-2023-43641 v knihovně libcue. V GNOME ji může útočník využít ke spuštění libovolného příkazu, stačí když uživatel klikne na odkaz, viz video. Soubor se uloží do ~/Downloads, zjistí to tracker-miners a zavolá libcue pro zpracování .cue souboru. Exploit v souboru využije chyby a spustí kalkulačku.

10.10.2023 22:00 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[Jendа]

Proč se věci jako parsování krátkého texťáku, kde fakt nezáleží na výkonu, píšou v céčku? Proč se to alespoň defaultně nekompiluje se sanitizérem (nevím jestli by zrovna tady pomohl)?

[koroptev]

protoze to matlaj bezmozci?

[plostenka]

To neni o parseru kratkeho textaku, ale o tom, ze neco automaticky hrabe do Downloads (a kam jeste?) a snazi se to nejak procesovat...

[X]

Asi tak.

[Kate]

Což dneska dělá snad každý desktopový OS kvůli indexaci souborů pro vyhledávání.

[koroptev]

no jenze ty zbyle dva desktopove OS maji tak nejak trhem potvrzeno, ze nestoji za hovno..

na linuxu to indexovani nedela OS, delaji to matlaci z Gnome, opice z KDE a asi par dalsich.., kazdej pes, jinak dojebana ves

[Jendа]

no jenze ty zbyle dva desktopove OS maji tak nejak trhem potvrzeno, ze nestoji za hovno..

Microsoft warns that the limited, targeted attack occurs when the Library "improperly handles a specially crafted multi-master font - Adobe Type 1 PostScript format" adding that there are "multiple ways an attacker could exploit the vulnerability, such as convincing a user to open a specially crafted document or viewing it in the Windows Preview pane."

na linuxu to indexovani nedela OS, delaji to matlaci z Gnome, opice z KDE a asi par dalsich..

Zrovna ty knihovny pro rozebírání souborů používají stejné.

[koroptev]

zbyva tedy pouzit google fu i na to indexovani na macosu, tak delej

meanwhile

[plostenka]

Ty si nepamatujes cos pred chvili stahla? No tak holt potrebujes deravy indexator...

My ostatni pri stazeni souboru rovnou vybereme kam se ma v adresarove strukture ulozit. A diky te strukture neni indexator potreba vubec - az tak ze neni ani nainstalovany.

[koroptev]

to neni jenom indexator..

zamykaci obrazovka, rekurentni to story, naposledy asi pred mesicem dvema, priste za pul roku, protoze, lol, to zavisi na milionu radek kodu napsanym v cecku, ktery jsou soucasti gnome knihoven.. a staci to crashnout, protoze default chovani (nebezi to = je odemceno) je demence

[RealJ]

Chtel jsem te vytrolit ale prislo mi te lito ze nevidis moznosti ktere jakakoliv automatizace nabizi. Ze to psala parta amateru je snad jasne kazdemu kdo chape jak funguje opensource.

[Jendа]

Kdyby to nehrabalo automaticky, tak pro exploitování nebude stačit stáhnout, ale stáhnout + přehrát mplayerem. Vyžaduje to větší interakci, ale stejně je to průšvih.

[luky]

Protoze to je parser napsanej pred 20 lety pomoci flex/bison, ktery generujou cecko.

[..... Izak .....]

A proc je datovy stack kurna spustitelny ? - kdyz uz mame NX flag na oznaceni pameti - tedy se tyhle prasarny pak apon nespusti ...

[luky]

Nemam Gnome, abych to overil, ale je mozne, ze ten jejich indexovac pouziva knihovnu, co to vyzaduje. Treba libffi, vestavenej python atd.

[ochlasta]

Adresář ~/Downloads nepoužívám a při nové instalaci mažu a také nemám nastavené automatické stahování, takže jsem v bezpečí.

[BFU]

to video nefunguje je tam jenom cerna obrazovka

[RealJ]

Si to otevri v nejakem normalnim OS a normalnim prohlizeci a bude ti to fungovat bez problemu.

[curl]

Je to mp4 a co je v něm nevím, nedíval jsem se.

[Jendа]

Mně funguje ve Firefoxu, mpv i vlc. Jediná podivnost je že je nesmyslně velké (h264 3840x2160 60.000fps) ačkoli vzhledem k obsahu by klidně mohlo být mnohem menší. Možná se ti nevejde do paměti GPU? :)

[RealJ]

Bezne koukas na 320x240x5fps?

[k3dAR]

a ty potrebujes 12K video v kterem vidis ze stahne cue soubor a pusti se kalkulacka?

[RealJ]

8k staci.