Lỗ hổng nghiêm trọng trong trình quản lý file Gnome khiến người dùng Linux có nguy cơ bị tấn công

[WhiteHat News #ID:2018]

Một lỗ hổng code injection trong thành phần xử lý hình ảnh thu nhỏ của trình quản lý Gnome File tên là Bad Taste (CVE-2017-11421) vừa được phát hiện. Lỗ hổng này cho phép kẻ tấn công thực thi mã độc nhằm vào các máy tính chạy Linux.

Lỗ hổng nằm trong "gnome-exe-thumbnailer" - một công cụ tạo ra các hình ảnh thu nhỏ cho GNOME từ các file thực thi trên Windows (.exe/.msi/.dll/.lnk), yêu cầu người dùng phải thiết lập ứng dụng Wine trên hệ thống để mở nó. Wine là phần mềm mã nguồn mở miễn phí cho phép các ứng dụng của Windows chạy trên hệ điều hành Linux.

Nhà nghiên cứu người Đức Nils Dagsson Moskopp phát hiện ra lỗ hổng khi tìm đến một thư mục chứa file .msi, GNOME files lấy tên file làm biến đầu vào để tạo ra một hình ảnh thu nhỏ của image.

Để khai thác thành công lỗ hổng, kẻ tấn công có thể gửi một file Windows installer (MSI) có chứa mã độc VBScript trong filename. File SMI này nếu được tải về hệ thống có lỗ hổng sẽ chiếm quyền điều khiển máy tính mà không cần thêm tương tác từ người dùng.

Lỗ hổng cũng có thế bị khai thác thông qua các phương thức tấn công khác, như trực tiếp cắm một ổ USB có chứa file độc hại hoặc phán tán file chứa mã độc thông qua tấn công drive-by-download.

Bảo vệ máy tính khỏi Bad Taste

Các nhà phát triển đã đưa ra bản vá trong file gnome-exe-thumbnailer. Lỗ hổng ảnh hưởng đến các phiên bản gnome-exe-thumbnailer 0.9.5 trở về trước. Vì vậy, người dùng hãy cập nhật ngay lập tức nếu máy tính chạy hệ điều hành Linux với bản Gnome desktop.

Người dùng được khuyến cáo:

• Xoá tất cả các file trong in/usr/share/thumbnailers/usr/share/thumbnailers.
• Không sử dụng GNOME File.
• Không cài đặt bất kỳ phần mềm nào tạo điều kiện để tự động thực thi tên file dưới dạng code.

Các nhà phát triển cũng được khuyến cáo không sử dụng "bug-ridden ad-hoc parsers" để phân tích file, kiểm soát đầy đủ đầu vào trước khi xử lý chúng và sử dụng các trình phân tích thay vì các mẫu.

Theo The Hacker News​