Cacat Rantai Pasokan yang Tidak Ditambal Mempengaruhi Platform ‘Pling Store’ untuk Pengguna Linux

ping store linux

Peneliti keamanan siber telah mengungkapkan kerentanan kritis yang belum ditambal yang memengaruhi pasar perangkat lunak sumber terbuka dan gratis (FOSS) berbasis Pling untuk platform Linux yang dapat berpotensi disalahgunakan untuk melancarkan serangan rantai pasokan dan mencapai eksekusi kode jarak jauh (RCE).

“Pasar Linux yang didasarkan pada platform Pling rentan terhadap wormable [cross-site scripting] dengan potensi serangan rantai pasokan,” salah satu pendiri Positive Security Fabian Bräunlein berkata dalam penulisan teknis yang diterbitkan hari ini. “Aplikasi PlingStore asli dipengaruhi oleh kerentanan RCE, yang dapat dipicu dari situs web mana pun saat aplikasi sedang berjalan.”

Bacaan Lainnya

Toko aplikasi berbasis Pling yang terkena dampak cacat tersebut termasuk —

  • appimagehub.com
  • store.kde.org
  • gnome-look.org
  • xfce-look.org
  • pling.com

PlingStore memungkinkan pengguna untuk mencari dan menginstal perangkat lunak Linux, tema, ikon, dan add-on lain yang mungkin tidak tersedia untuk diunduh melalui pusat perangkat lunak distribusi.

Kerentanan berasal dari cara halaman cantuman produk toko mem-parsing HTML atau bidang media yang disematkan, sehingga berpotensi memungkinkan penyerang untuk menyuntikkan kode JavaScript berbahaya yang dapat mengakibatkan eksekusi kode arbitrer.

“Ini disimpan XSS dapat digunakan untuk mengubah daftar aktif, atau memposting daftar baru di toko Pling dalam konteks pengguna lain, menghasilkan XSS yang dapat dicairkan,” kata Bräunlein.

Lebih mengganggu lagi, ini dapat memungkinkan serangan rantai pasokan XSS worm di mana muatan JavaScript dapat dieksploitasi oleh musuh untuk mengunggah versi perangkat lunak yang di-trojan dan mengubah metadata dari daftar korban untuk memasukkan dan menyebarkan kode serangan.

Dengan aplikasi PlingStore yang bertindak sebagai etalase digital tunggal untuk semua toko aplikasi yang disebutkan di atas, Positive Security mencatat bahwa eksploitasi XSS dapat dipicu dari dalam aplikasi yang, bila digabungkan dengan bypass kotak pasir, dapat menyebabkan eksekusi kode jarak jauh.

“Karena aplikasi dapat menginstal aplikasi lain, ia memiliki mekanisme bawaan lain untuk mengeksekusi kode pada [operating system] level,” Bräunlein menjelaskan. “Ternyata, mekanisme itu dapat dimanfaatkan oleh situs web mana pun untuk menjalankan kode asli arbitrer saat aplikasi PlingStore terbuka di latar belakang.”

Dengan kata lain, ketika pengguna mengunjungi situs web berbahaya melalui browser, XSS dipicu di dalam aplikasi Pling saat sedang berjalan di latar belakang. Tidak hanya kode JavaScript di situs web yang dapat membuat koneksi ke server WebSocket lokal yang digunakan untuk mendengarkan pesan dari aplikasi, juga menggunakannya untuk mengirim pesan untuk mengeksekusi kode asli arbitrer dengan mengunduh dan menjalankan file paket .AppImage.

Terlebih lagi, cacat XSS serupa ditemukan di Ekstensi Shell GNOME marketplace dapat dimanfaatkan untuk menargetkan komputer korban dengan mengeluarkan perintah jahat ke ekstensi browser Integrasi Shell Gnome dan bahkan ekstensi yang dipublikasikan di pintu belakang.

Perusahaan keamanan siber yang berbasis di Berlin mencatat bahwa kekurangan tersebut dilaporkan ke pengelola proyek masing-masing pada 24 Februari, dengan Proyek KDE dan Keamanan GNOME mengeluarkan tambalan untuk kekurangan setelah pengungkapan. Mengingat fakta bahwa cacat RCE yang terkait dengan PlingStore masih belum teratasi, disarankan untuk tidak menjalankan aplikasi Electron sampai ada perbaikan.

Laporan tersebut muncul kurang dari sebulan setelah kelemahan keamanan yang parah ditemukan di beberapa ekstensi Visual Studio Code populer yang dapat memungkinkan penyerang untuk berkompromi dengan mesin lokal serta membangun dan menerapkan sistem melalui lingkungan pengembangan terintegrasi pengembang, yang pada akhirnya membuka jalan bagi serangan rantai pasokan. .

“[The flaws] menunjukkan risiko tambahan yang terkait dengan pasar semacam itu,” kata Bräunlein. “Dalam lingkungan ini, bahkan kerentanan yang relatif kecil (misalnya pemeriksaan asal yang hilang) dapat menyebabkan konsekuensi yang parah (drive-by RCE dari browser apa pun dengan aplikasi rentan yang berjalan di latar belakang) . Pengembang aplikasi semacam itu harus melakukan pengawasan tingkat tinggi untuk memastikan keamanannya.”

'+n+'...
'+a+"...
"}s+="",document.getElementById("result").innerHTML=s}}),t=!0)})}); //]]>

Pos terkait