KDE’de 0-Day

0

Siber güvenlik araştırmacısı olan Dominik Penner (zer0pwn), 5 Ağustos 2019 tarihinde Twitter platformundan KDE masaüstü ortamında keşfettiği 0-Day güvenlik açığını takipçileriyle paylaştı.

KDE (K Desktop Environment) yani K Masaüstü Ortamı adı verilen Unix ve Unix benzeri işletim sistemleri için geliştirilmiş bir masaüstü ortamıdır. KDE frameworkü Kubuntu, OpenMandriva ve OpenSUSE dahil olmak üzere çeşitli GNU/Linux dağıtımlarında yaygın olarak kullanılmaktadır.

Keşfedilen güvenlik zafiyeti KDE Framework 5.60.0 sürümü ve öncesini etkilemektedir. KDesktopFile sınıfının .desktop veya .directory dosyalarını işleme biçiminden ortaya çıkmaktadır. Bir .desktop veya .directory dosyası başlatıldığında KConfigGroup :: readEntry() fonksiyonu, KConfigPrivate :: expandString() aracılığıyla çalıştırılmaktadır. Sisteme zarar verebilecek şekilde hazırlanan bir .desktop dosyası hedef sistemde kurban tarafından görüntülendiğinde saldırgan tarafından rastgele kod çalıştırmaya (RCE) imkan vermektedir.

ZDNet tarafından paylaşılan görüntülerde keşfedilen 0-Day uygulamalı olarak gösterilmektedir. Zararlı koda bir sahip dosyanın yalnızca sisteme indirilmesiyle komut satırından oturum alındığı görülmektedir.

CEVAP VER

Lütfen yorumunuzu giriniz!
Lütfen isminizi buraya giriniz