Preorder drugiego tomu książki sekuraka: Wprowadzenie do bezpieczeństwa IT. -15% z kodem: sekurak-book
Dzieci losowym uderzaniem w klawiaturę zhackowały wygaszacz ekranu w dystrybucji Linux Mint
Opiekunowie dystrybucji Linux Mint ostatnio zajęli się błędem bezpieczeństwa, który mógł pozwolić na obejście wygaszacza ekranu. Ciekawym aspektem tej luki związany jest z sposobem w jaki została odkryta. W rzeczywistości została ona znaleziona przez dwoje dzieci, które bawiły się na komputerze swojego taty.
Eksploatacja jest bardzo prosta – polega na obejściu blokady na poziomie wygaszacza ekranu poprzez jego awaryjne zakończenie i odblokowanie pulpitu za pomocą wirtualnej klawiatury. W celu odtworzenia procesu obejścia w zablokowanym systemie wystarczy kliknąć wirtualną klawiaturę, a następnie na właściwej naciskać, jak najwięcej klawiszy.
“Kilka tygodni temu moje dzieci chciały zhackować moją stację roboczą Linuksa, więc pisały i klikały wszędzie, podczas gdy ja stałem za nimi i patrzyłem, jak grają… kiedy wygaszać ekranu się wywalił, a one włamały się do środka! wow, ci mali hackerzy…” stwierdza raport o błędzie na GitHubie.
“Myślałem, że to wyjątkowy incydent, ale udało mi się to zrobić po raz drugi. Więc uznałbym ten błąd za… odtwarzalny… przez dzieci. Próbowałem samodzielnie odtworzyć zakończenie procesu wygaszacza, ale bez powodzenia, być może dlatego, że wymagało to więcej niż czterech małych rączek piszących i używających myszki na wirtualnej klawiaturze. Może nie jest to najlepszy raport o błędzie, ale na własne oczy widziałem już dwukrotnie awarię blokady ekranu, więc jest całkiem realna. Ostatnia rzecz, po odblokowaniu pulpitu nie mogę go ponownie zablokować, proces wygaszacza ekranu jest martwy i wymaga otworzenia powłoki i ręcznego uruchomienia ‘cinnamon-screensaver’, aby ruszył.
Historia trochę z dozą humoru, ale główny programista Linuksa Mint – Clement Lefebvre potwierdził, że błąd znajduje się w bibliotece libcaribou, komponencie klawiatury ekranowej będącej częścią środowiska pulpitu Cinnamon używanego przez dystrybucję Mint. Luka jest wyzwalana, gdy użytkownik naciśnie klawisz “ē” na klawiaturze ekranowej, co powoduje awarię procesu pulpitu Cinnamon. Jeśli klawiatura ekranowa jest otwierana z poziomu wygaszacza ekranu, błąd powoduje zawieszenie wygaszacza ekranu, umożliwiając użytkownikom dostęp do pulpitu.
We wszystkich wersjach Cinnamon klawiatura ekranowa (uruchomiona z menu) działa w ramach procesu Cinnamon i korzysta z libcaribou. Naciśnięcie “ē” powoduje awarię procesu Cinnamon. Z kolei w wersjach Cinnamon 4.2 i nowszych wygaszacz ekranu zawiera libcaribou OSK (OnScreenKeyboard). Naciśnięcie “ē” powoduje zawieszenie wygaszacza ekranu. Błąd został wprowadzony przy okazji naprawy błędu przepełnienia buforu sterty z października 2020 roku i dotyka wszystkich dystrybucji korzystających z Cinnamon 4.2+ i każdego oprogramowania używającego libcaribou. Odpowiednia poprawka została już przygotowana dla Mint 19.x, Mint 20.x oraz LMDE 4.
– pki
” ale udało mi się to zrobić po raz drugi” – chyba powinno być: „ale udało IM się to zrobić po raz drugi”, ponieważ dalej jest napisane:” Próbowałem samodzielnie odtworzyć zakończenie procesu wygaszacza, ale bez powodzenia,”
Pięknie, kilkulatek może się już poszczycić pierwszą kontrybucją!
Kolejny dowod, ze ogonki to zlo ;-(.
W KDE bywało podobnie. Przeważnie jak się sterowniki nvidii zaktualizowało w trakcie działania systemu to się potrafiła blokada ekranu crashnąć. Później zrobili, że jak się crashnie blokada, to wyświetla się tylko czarny ekran z napisem żeby przełączyć się na konsole tekstową (ctrl+alt+fX), zalogować i przy pomocy loginctl odblokować sesję.
Warto poczytać komentarz autora xscreensaver na temat tej klasy błędów:
https://www.jwz.org/blog/2021/01/i-told-you-so-2021-edition/
> If you are not running XScreenSaver on Linux, then it is safe to assume that your screen does not lock
to!
wcale nie „to!”, co zostało wypunktowane w odpowiedzi w wątku na Githubie: https://github.com/linuxmint/cinnamon-screensaver/issues/354#issuecomment-762261555
Kilka lat temu, też dzieci, odkryły, że w jednej dystrybucji Linuksa wystarczyło przytrzymać Enter trochę dłużej, z podobnym efektem :)
Security breach na Linuxach. Kto by pomyślał.
Ziomek z pracy kilka lat temu miał sytuację, gdy podpinał do firmowego laptopa monitor przez dsub (właśnie w mincie) to ekran blokady wyparowywał :-)
Ja mniej więcej 9 lat temu pracowałem na ubuntu i mam nawyk blokowania ekranu przy wstawaniu od biurka. Teraz mam też nawyk sprawdania, czy blokada pyta o hasło bo w Ubuntu kilka razy zdarzyło mi się, że ekran robił się czarny, ale ruszenie myszką przywracało aktywny pulpit, a nie ekran logowania. A blokowanie zawsze odbywało się tym samym skrótem klawiaturowym. Niestety nie udało mi się tego zreprodukować mimo starań.
wystarczy uzywać wersji bez UI i dzieci juz raczej nie beda zainteresowane hackowaniem :P