Плагины для текстовых редакторов позволяют хакерам повысить привилегии
Плагины для текстовых редакторов позволяют хакерам повысить привилегии
Злоумышленник может выполнить произвольный код, установить вредоносное ПО и удаленно получить полный контроль над устройством пользователя.
Исследователь безопасности Дор Азури (Dor Azouri) из компании SafeBreach проанализировал несколько популярных текстовых редакторов для систем Unix и Linux и обнаружил в большинстве из них уязвимости, позволяющие злоумышленнику повысить привилегии и выполнить вредоносный код на компьютерах жертв. В частности, уязвимости затрагивают текстовые редакторы Sublime, Vim, Emacs и Gedit.
«Данный метод является успешным независимо от того, открыт ли какой-либо файл в редакторе, поэтому даже ограничения, обычно применяемые к командам sudo, могут не защитить программу», — следует из отчета.
«Пользователям иногда приходится редактировать корневые файлы и для этого необходимо открыть редактор с повышенными привилегиями, используя sudo», — отметил Азури.
Проблема заключается в том, как текстовые редакторы загружают плагины. По словам исследователя, при загрузке плагинов имеет место некорректное разделение обычного режима и режима с повышенными привилегиями.
Целостность прав доступа к папкам не поддерживается должным образом, позволяя злоумышленникам повысить привилегии и выполнить произвольный код, установить вредоносное ПО и удаленно получить полный контроль над устройством пользователя.
Исследователь порекомендовал пользователям Unix использовать систему обнаружения вторжений с открытым исходным кодом OSSEC для активного мониторинга активности системы, целостности файлов, журналов и процессов.
Пользователям также следует избегать загрузки сторонних плагинов, когда редактор работает с повышенными привилегиями.
Помимо этого, Азури посоветовал разработчикам текстовых редакторов изменить папки и модели разрешений файлов для разделения между режимами, а также, если это возможно, добавлять интерфейс для одобрения загрузки плагинов с повышенными привилегиями вручную.
