Незакрытая уязвимость в KDE

Расходимся

ЗЫ что-то мода в последнее время, ради хайпа сразу постить уязвимости в паблик. Пеннер может и хороший исследователь/погромист, но мудак, как человек.

У тебя стоит говно-дистрибутив

Сказать, что это говно.

Но ведь Manjaro это убер-нестабильная васяно-сборка rolling release и соответственно нестабильного Arch.

Debian с TDE или LXQT.
Посоветовать ещё большее говно.
Это пять.

Debian стабильный, хороший, стабильный дистрибутив используемый вменяемыми людьми. TDE или LXQT обладают нормальным дизайном, а ту просто дурак.

Расходимся

ЗЫ что-то мода в последнее время, ради хайпа сразу постить уязвимости в паблик. Пеннер может и хороший исследователь/погромист, но мудак, как человек.

А каким словом тебя назвать? Ты считаешь что уязвимости надо скрывать до последнего? Предупрежден значит вооружен.

Что вообще за бред с какими то особыми флагами $e и запуском произвольных команд? Кто это придумал?

разработчики спецификации FreeDesktop

Принято сначала писать непосредственно разработчику о найденной уязвимости. Это называется этикой.

что-то мода в последнее время, ради хайпа сразу постить уязвимости в паблик

Так проголосовал народ https://imgur.com/etcftmq

This is Twitter!!!

тогда утверждалось, что в КДЕ такое невозможно.

Ну только не очень умный такое будет заявлять.

Вообще оценку секурности продукта типа Неуловимого Джо во многом можно делать по глючности. Если в продукте постоянно что-то падает и глючит, то естественно, что думать, что там как-то особо внимание уделяют секурности - глупо.

Debian стабильный, хороший, стабильный дистрибутив используемый вменяемыми людьми.

После выхода 10ки мы увидели, какой он стабильный, ага. Выходит 10ка, значит пора на 9ку переходить, прям как с самсунгами.

TDE или LXQT обладают нормальным дизайном, а ту просто дурак.

Откровенно дерьмовым дизайном, советовать подобное для использования — признак слабоумия. Вот и говорю назвал говно говном, и посоветовал другое говно.

bist du sicher?

После выхода 10ки мы увидели, какой он стабильный, ага. Выходит 10ка, значит пора на 9ку переходить, прям как с самсунгами.

Пруфов конечно не будет?

Откровенно дерьмовым дизайном, советовать подобное для использования — признак слабоумия. Вот и говорю назвал говно говном, и посоветовал другое говно.

Говорить о дизайне признак латентной педерастии. Нужен дизайн, иди на Гном петушок.

Нет чтобы использовать абсолютный путь с проверкой magic, так опять наворотили баше-лапшу... Позор.

Пруфов конечно не будет?

Чекай темы в период выхода 10ки.

Говорить о дизайне признак латентной педерастии. Нужен дизайн, иди на Гном петушок.

Сначала про дизигн пернул, потом латентным педерастом себя назвал. Самоуважния совсем нет?

Пруфов конечно не будет?

ЛОР что ли не читаешь? Реально чет траблы все трабловее...

Ну вообще показательно засаживание Wayland дефолтом.

В Ubuntu как-то «трусят» с этим. А в Debian вжух 🙂

> Выходит 10ка, значит пора на 9ку переходить, прям как с самсунгами.

Пруфов конечно не будет?

Какие пруфы нужны? Это золотое правило.

если злоумышленник сумел засунуть такой файл в директорию

Я предлагаю для скачивания архив, который содержит файл .directory (Dolphin всегда засирает ими архивы, если не отключить), то бишь подозрения этот файл у пользователя не вызовет. Этот файл я протроянил. Ты распаковываешь архив, переходишь в каталог с помощью Dolphin и у тебя слетает хомяк или ты начинаешь майнить крипту на мой кошелёк.

Вот в чём уязвимость, где ты тупак нашёл я не знаю.

Да, в первом есть. Баг очень давний.

.directory с removable носителей не читаются.

Тогда смысл их существования ещё более призрачный.

Я предлагаю для скачивания архив, который содержит файл .directory (Dolphin всегда засирает ими архивы, если не отключить), то бишь подозрения этот файл у пользователя не вызовет. Этот файл я протроянил. Ты распаковываешь архив, переходишь в каталог с помощью Dolphin и у тебя слетает хомяк или ты начинаешь майнить крипту на мой кошелёк.

А во встроенном архиваторе это не проканает с .directory? Хотя вряд ли...

Да вот простой тест-демонстрация уязвимости: http://esxi.z-lab.me:666/~exl_lab/others/kde_pwned.zip

При распаковывании этого архива средствами Dolphin (или любыми другими средствами) у пользователя магическим образом запускается калькулятор (KCalc), как только директория из архива попадает в поле видимости в Dolphin и подобных ему KDE’шных файловых-менеджеров.

И вместо безобидного запуска KCalc там может быть rm -Rf хомяк, или скрипт-майнилка, или эксплоит на получение root.

Да, и что самое печальное, если в Dolphin отключить засирание директорий файлами .directory: Dolphin Preferences => General => Behavior => View => Use common properties for all folder, то протрояненные файлы .directory всё равно будут читаться, а уязвимость исполняться.

Вдвойне печальнее то, что KDE-шники привыкли к засраным этими файлам директориям и не ожидают опасности, скрытой в них.

Хотя есть и положительная сторона: распространённость Linux Desktop в нашей Вселенной настолько ничтожна (0.91%), а KDE’шников среди них и того меньше, что никакой какер в здравом уме не будет протроянивать архивы или директории с целью нагнуть пользователей Dolphin и поиметь с них профита.

Угроза существующая, но уровень её опасности низкий, потому что KDE’шники мало кому нужны.

Зацените масштабы эпидемии ковровым засиранием всего и вся .directory-файлами:

https://github.com/search?utf8=✓&q=HiddenFilesShown%3D+filename%3A.directory&type=Code&ref=advsearch&l=&l=

Сценарий из фильма ужасов – GitHub (или любой другой хостинг репозиториев) компрометируют, добавляют в эти (или вообще в каждый репозиторий) файлы майнинг-скрипты и скребут с пользователей Dolphin бабло.

Знатный обсер ратующих за засирание директорий этим файлом, которые в этом треде были: Заметил, что, начиная с home, в каждой(!) директории лежит файл ".directory". Зачем он нужен?

Если открыть архив в Dolphin, как обычную папку (он так умеет, если это включить), то дыра не работает. Но вот если распаковать... срабатывает даже когда просто вызываешь контекстное меню у папки)

Главное подальше оттянуть фиксы, а то местные тролли не нажрутся и пойдут спать в плохо настроении и с полшестого кое где.

в каждой директории, в которую ты заходил Dolphin'ом, появляется скрытый файлик.

и как всегда ты врёшь

Ну значит у меня krusader при помощи магии на плеере значки показывает. Ты бы хоть проверял то что пишешь.

Мне кажется если кто-то или что-то обладает достаточными правами чтобы записать в мою директорию этот «специально сконструированный файл чрезвычайно простой структуры» то во-первых я сам виноват, и во-вторых он или оно по определению может точно также выполнить любой код и незачем все так усложнять

Я тебе на флешку записал файлик и дал посмотреть. Ты открыл — снес себе хомяк.

Ты из веба скачал архив с прогой, распаковал, открыл, весь твой хомяк улетел ко мне на сервак.

Сабж — не дырка, расходимся

а о том, что ни один линуксовый файл-менеджер и рядом не стоял с Directory Opus/Xyplorer.

файл менеджер — простая программа. напиши, а мы посмотрим как ты thunar удалаешь

одни болтуны кругом

Поражаюсь с таких, че вы тут делаете, в этом треде? Вы хоть раз тот софт пробовали? Все там читается.

кино-просмотры всякого андерграунда, а потом обсуждение.

когда писал, мизинчик оттопырил? )

Приведение ЛОРа, особенно сегодняшнего, в качестве аргумента - полнейший моветон.

Мне проще скачать фильм с торрента

Ага! А только что говорил что не качаешь подозрительного! В торрент тебе тоже можно подложить ауторан.инф!

Чекай темы в период выхода 10ки.

А потом почекай темы в период выхода 9ки, 8ки, 7ки, 6ки и даже 5ки и увидь ту же картину с поправкой на то, что интернет стал доступней и концентрация идиотов в нем выросла в разы.

Чекай темы в период выхода 10ки.

Зойчем? Каждый раз когда выходит новая версия что-то, да ломается. Хоть в супер стабильном дистрибутиве, хоть в роллинг ультра модненьком на краю разработки, к чему этот разговор вообще? Где-то через неделю после выхода buster запрыгнул на него со stretch, при обнове, как обычно это бывает когда обновляешься не после нескольких минорных релизов, были проблемы, но все они решаемы. Так было всегда, хотите гладких обнов - ждите хотя бы нескольких минорных обновлений новой ветки, когда все устаканится.

Потому что вместо того чтобы напрямую написать разработчикам об обнаруженной уязвимости, он решил на ней попиариться.

А вы уверены, что он о ней не писал?

да, уязвимость, но это не какой-то zero-day bug

да это финишь а не уязвимость. эн лет назад все компы и флешки были засраны вот подобной фигней. по факту ты вообще не сможешь открывать в менеджере файлов что-то что принес откуда-то, не рискуя хомяком (или модификацией настроек) каждый раз, когда открываешь папку

Мотивация пеннера же тоже вполне хорошо описана в его твиттере - забив на ответственность, собрать лайков и получить 15 минут славы.

я чет упустил. Это ты про то, что автор сабжа, вместо того, чтоб написать КДЕ шникам тихо, раструбил на весь мир?

Win2k нервно курит в сторонке по сравнению с божественной XP, семера еще ничего, а дальше и в правду пошел треш и угар. Я как заядлый виндузятник это тебе говорю!

а почему МСы не приделают возможность ДЕшку от ХР(или типа того) использовать на новых виндах? Ну этим же пользоваться невозможно! Хрен где че найдешь, хрен чего сможешь. 20 лет за компом сижу, а на винду смотрю теперь как баран на новые ворота

.directory с removable носителей не читаются.

а из распакованных архивов?

Усё.

shell commands in KConfig entries has been removed,

because we couldn't find an actual use case for it

ну это ж дешевая отмаза )

Да. Об этом он сам сказал.

Ээээ... Браузером скачал что-то?

Win2k нервно курит в сторонке по сравнению с божественной XP

Круглые углы окон? Всплывающее окно авторана? Сами ешьте вашу заливную рыбу!

Более того, это работает и в KDE-шных файловых диалогах, лол.

Т.е. уязвимости ещё подвержены те браузеры, в которых какими-то хаками заменили GTK-шные диалоги на KDE-шные.

Нет; ваше мнение однобоко, если не сказать вредно и красноречиво говорит о вашем знакомстве с миром свободного прикладного ПО. Зачем мне графическое окружение, которое неспособно работать графически с большей частью железа и софта, которое я использую, при этом съедая половину ресурсов как гном и xfce? Mate был бы хорош, если бы не устарел - а рано или поздно его забросят, lxqt тоже неплохое окружение, но малофункциональное и требует долгой настройки, чтобы эмулировать уровень доступности предлагаемый кедами. Вам не нравится желание сэкономить свое рабочее и личное время?

Причиной уязвимости называется недостаточная прямота рук

Эта уязвимость в третьекедах еще была что ли? Или бэкпортировали? Лол.

Работает и в TDE тоже.