Sicherheitslücken in App-Stores bei KDE und GNOME

Verfasst von

Forscher beim Berliner IT-Sicherheitsunternehmen Positive Security haben eine kritische Schwachstelle im Pling-Store entdeckt, der von App-Stores für freie und quelloffene Software genutzt wird. Die Lücke kann potenziell missbraucht werden, um Supply-Chain-Attacks über eine XSS-Lücke zu inszenieren und Remote Code Execution (RCE) auszuführen.

Kein Kontakt

Da die Entdecker der Lücke seit Februar nicht in der Lage waren, einen Verantwortlichen bei der Firma Hive01, die den Pling-Store betreibt, zu erreichen, gehen sie jetzt mit der bisher ungepatchten Lücke an die Öffentlichkeit. Betroffen sind unter anderem:

appimagehub.com
store.kde.org (Discover)
gnome-look.org
xfce-look.org
pling.com

Installation mit einem Mausklick

Pling-Store ermöglicht es Anbietern, Dinge wie Erweiterungen, Themes, Icons oder Mauszeiger mit einem Klick zu installieren, die in den Distributionen selbst vielleicht nicht verfügbar sind. Derzeit werden die Desktops KDE Plasma, Gnome, XFCE, Mate, Cinnamon, Budgie, LXQt, Elementary und Enlightenment unterstützt. Die entdeckte Schwachstelle liegt in der Methode, wie Entwickler im Pling-Store eine App anlegen und Metadaten etwa zur Beschreibung der App im Listenfeld HTML or Embed Media Code anlegen. Dieses Listenfeld lässt sich leicht missbrauchen, um eine XSS-Nutzlast unterzubringen.

Zugriff auf aktive Angebote

Die gespeicherte Nutzlast ließe sich verwenden, um bereits aktive Angebote zu ändern oder neue Angebote im Pling-Speicher im Kontext anderer Benutzer zu veröffentlichen, was zu einem wurmfähigen XSS führt. Neben den typischen XSS-Implikationen würde dies einen Supply-Chain-Attacke-XSS-Wurm mit einer JavaScript-Nutzlast ermöglichen, um trojanisierte Versionen von Software hochzuladen und die Metadaten der Auflistung eines Opfers so zu verändern, dass sie den Angriffscode enthalten und verbreiten.

Über eine Electron-App, die Pling-Store allen Nutzern empfiehlt, gelang es den Forschern, über die XSS-Lücke eine App zu installieren und damit Code auszuführen. Wenn ein Anwender eine bösartige Website besucht, während der Pling-Store im Hintergrund aktiv ist, wird der XSS-Code innerhalb der Pling-App ausgelöst. Der JavaScript-Code in der Website kann nun nicht nur eine Verbindung zum lokalen WebSocket-Server herstellen, der verwendet wird, um Nachrichten von der App abzuhören, sondern er nutzt ihn auch, um Nachrichten zu senden, um beliebigen nativen Code auszuführen, indem er ein AppImage herunterlädt und ausführt.

Auch wenn bei der zu Blue Systems gehörenden Firma Hive01 niemand auf den Versuch, die Lücke zu melden, reagiert hat, so haben die Entwickler von GNOME und KDE die unter CVE-2021-28117 katalogisierte Lücke mittlerweile geschlossen.

Sicherheit

Kommentare

11 Antworten zu „Sicherheitslücken in App-Stores bei KDE und GNOME“

2021-06-23

pain

Überrascht mich überhaupt nicht. Ob Linux Windows oder Osx, bei allen gibt es Lücken oder besser gesagt Bugs die ausgenutzt werden früher oder später. Am Ende des Tages ist es nur Software die von Menschen programmiert wurde und die machen Fehler.
Benutze selbst auch Linux aber blindes Vertrauen geniesst es auch nicht, OpenSource hin oder her.
Nur weil man in der Lage ist den Source Code zu sehen und zu lesen, bedeutet noch lange nicht ihn auch verstanden zu haben.
Das hat die Vergangenheit schon mehrmals gezeigt das trotz OpenSource Sicherheitslücken jahrelang unentdeckt bleiben. Will gar nicht wissen wieviele noch vorhanden sind die schon aktiv ausgenutzt werden.

Antworten
1. 2021-06-23
  
  kamome
  
  Richtig – wobei es hier technisch weder um LInux noch Windows noch Mac geht 😉
  
  Antworten
  1. 2021-06-23
    
    vinzv
    
    …sondern mal wieder um ’ne Firma, die ihren Webkram nicht auf der Reihe hat. *seufzt*
    
    Antworten
    1. 2021-06-23
      
      Gerrit
      
      Dieses blue systems Konglomerat ist auch reichlich unübersichtlich. Hat da jemand mal eine gute Übersicht gefunden, welche Firmen für welche Projekte beisteuern und wer da arbeitet?
      
      Antworten
      1. 2021-06-23
        
        Ferdinand
        
        Ich weiß nur das Mr. Philanthrop bis zu einem Dutzend KDE-Entwickler beschäftigt
      2. 2021-06-23
        
        tuxnix
        
        Es werden von Blue Systems wohl nur einzelne Entwickler rund um die KDE Community unterstützt, ohne dass man darauf aus ist ein kommerzielles Produkt zu entwickeln.
        Bisherige Projekte waren u.a. Kubuntu, kwin, Calamares, das experimentierfreudige Netrunner und Plasma-Mobile. Manjaro wurde auch ein wenig beraten bevor es zur GmbH wurde.
        Ansonsten erfährt man nichts. Ein bisschen geheimnisvoll ist das schon, aber KDE tut das ganz gut an den Stellen wo für eine kontinuierliche Entwicklung ansonsten die Kohle fehlen würde.
2021-06-25

detlef-s

Am besten, man lässt die Finger davon, sich Aplikationen aus fremden Quellen zu besorgen, und bedient sich der Paketverwaltung, und schon gar nicht mit Klickinstall, denn dann greift diese Quelle natürlich auf deinen Rechner, das sollte man immer kritisch sehen.

Antworten
1. 2021-06-26
  
  UbIx
  
  Sehe ich auch so.
  Warum dieses Store gedöns kopieren. Wenn die bessere Lösung in allen distros schon drin ist?
  
  Antworten
  1. 2021-06-27
    
    detlef-s
    
    Ich habs auch nie verstanden, klar, als Einsteiger in die Linuxwelt ist es einfacher, und man macht sich darüber kaum Gedanken. Es bleibt einem nicht erspart, sich mit der Materie auseinander zu setzen. Wobei es einem ja eigentlich schon recht einfach gemacht wird.
    
    Antworten
    1. 2021-06-27
      
      UbIx
      
      Für mich wäre aus DAU sicht ein store überflüssig, wenn man beim öffnen von entsprechenden kontent oder im Menü einen tab mit nicht installierten Programmen hat einfach dort einen Vorschlag zur nachinstallation bekommt. Teilweise gibt es das auf der CLI und einigen Desktops wie KDE/Plasma schon.
      
      Antworten
      1. 2021-06-27
        
        detlef-s
        
        Ist das nicht bei Ubuntu mit Gnome-Desktop schon so? Zumindest wenn man etwas in der Suchmaske eingibt, ich meine, da gibt es dann auch Vorschläge zur Installation von Applikationen, allerdings ist das auch wieder mit dem Gnome-Store verknüpft. Mit Synaptic (Debian-basiert) hat man ein Suchwerkzeug, ansonsten ist alles in Kategorien Geordnet, mit KDE, bin ich nicht mehr so vertraut.