Ubuntu: Snap Trap
Az Aqua Nautilus kutatói egy biztonsági problémát azonosítottak, amely az Ubuntu command-not-found csomag és a snap csomagtár közötti kölcsönhatásból adódik. Míg a command-not-found kényelmes eszközként szolgál a nem telepített parancsok telepítésének javaslatára, a támadók a snap tárolón keresztül véletlenül manipulálhatják, ami rosszindulatú csomagok megtévesztő ajánlásához vezet.
A kutatás szerint az APT (Advanced Package Tool) csomagokhoz kapcsolódó parancsok akár 26%-a is sebezhető a rosszindulatú szereplők általi megszemélyesítéssel szemben. Ez a probléma utat nyithat a Linux-felhasználókat és a WSL-t futtató Windowst érintő ellátási lánc támadásoknak. Ez a blog a command-not-found működési részleteibe, a kompromittált snap csomagok telepítésével járó kockázatokba és a különböző kihasználható támadási vektorokba merül el.
Súlyos aggodalomra ad okot, hogy a támadók a command-not-found segédprogramot kihasználva saját rosszindulatú snap csomagokat ajánlanak. Az igazi veszélyt a probléma potenciális kiterjedése jelenti, mivel a támadók képesek a széles körben használt csomagok több ezer parancsát utánozni. A Snap Store-ban korábban megjelent rosszindulatú csomagok rávilágítanak erre a problémára (lásd a hivatkozásokat: Snapcraft Forum, The Next Web).
Továbbra is bizonytalan, hogy ezeket a képességeket milyen mértékben használták ki, ami aláhúzza a fokozott éberség és a proaktív védelmi stratégiák sürgősségét.