Zero day bezpečnostní chyba v KDE Plasma

Dominik Penner (@zer0pwn) zveřejnil informace o zatím neopravené bezpečnostní chybě v KDE Plasma. Pouhým otevřením adresáře s útočníkem připraveným souborem .desktop nebo .directory v Dolphinu může být spuštěn libovolný příkaz. Viz videoukázka na YouTube. Vývojáři KDE zatím doporučují nestahovat soubory .desktop a .directory a nerozbalovat archivy z neznámých zdrojů.

7.8.2019 11:44 | Ladislav Hagara | Nová verze

Komentáře

[pepe_]

To je jistě nedokumentovaná funkce autorun jako ve windows a proto je rada nestahovat soubory .desktop a .directory a nerozbalovat archivy z neznámých zdrojů :)

[chrono]

Problém je, že v KDE si vymysleli takýto formát dát v .desktop súboroch:

Icon[$e]=$(echo${IFS}0>~/Desktop/zero.lol&

(hodnota pre Icon sa generuje cez shell)

XDG štandard nič také neobsahuje a, pokiaľ viem, nič podobné nepodporuje ani žiadne iné DE.

[marbu]

To není ten případ, protože v dokumentaci bylo napsané:

If an entry is marked with `$e`, environment variables and shell commands will be expanded.

Name[$e]=$USER
Host[$e]=$(hostname)

When the "Name" entry is read `$USER` will be replaced with the value of the `$USER` environment variable, and `$(hostname)` will be replaced with the output of the `hostname` command.

Poučný je z tohoto pohledu taky commit co to opravuje:

It is very unclear at this point what a valid use case for this feature would possibly be. The old documentation only mentions $(hostname) as an example, which can be done with $HOSTNAME instead.

Note that $(...) is still supported in Exec lines of desktop files, this does not require [$e] anyway (and actually works better without it, otherwise the $ signs need to be doubled to obey kconfig $e escaping rules...).

A zdá se, že tahle functionalita až roku 2002, tj. je tu s námi od verze 3.1.0.