Matn muharriri plaginlari xakerlarga imtiyozlarni oshirishga imkon beradi

Matn muharriri plaginlari xakerlarga imtiyozlarni oshirishga imkon beradi

Hujumchi o’zboshimchalik bilan kodni ishga tushirishi, zararli dasturlarni o’rnatishi va foydalanuvchi qurilmasini masofadan turib to’liq nazorat qilishi mumkin.

SafeBreach kompaniyasining xavfsizlik bo’yicha tadqiqotchisi Dor Azouri Unix va Linux tizimlari uchun bir nechta mashhur matn muharrirlarini tahlil qildi va ularning aksariyatida hujumchiga jabrlanuvchi kompyuterlarida imtiyozlarni oshirish va zararli kodni ishga tushirish imkonini beradigan zaifliklarni aniqladi. Xususan, zaifliklar Sublime, Vim, Emacs va Gedit matn muharrirlariga ta’sir qiladi.

“Ushbu usul har qanday fayl muharrirda ochiq bo‘lishidan qat’iy nazar muvaffaqiyatli bo‘ladi, shuning uchun odatda sudo buyruqlariga qo‘llaniladigan cheklovlar ham dasturni himoya qilmasligi mumkin”, deyiladi hisobotda.

«Foydalanuvchilar ba’zan ildiz fayllarini tahrirlashlari kerak va buning uchun sudo yordamida yuqori muharrirni ochishlari kerak», dedi Azuri.

Muammo matn muharrirlari plaginlarni qanday yuklashida. Tadqiqotchining so’zlariga ko’ra, plaginlarni yuklashda oddiy rejim va yuqori rejim o’rtasida noto’g’ri farq mavjud.

Papka ruxsatining yaxlitligi to’g’ri saqlanmaydi, bu esa tajovuzkorlarga imtiyozlarni oshirish va o’zboshimchalik bilan kodni bajarish, zararli dasturlarni o’rnatish va foydalanuvchi qurilmasini masofadan turib to’liq boshqarish imkonini beradi.

Tadqiqotchi Unix foydalanuvchilariga tizim faoliyati, fayllar yaxlitligi, jurnallar va jarayonlarni faol ravishda kuzatib borish uchun ochiq kodli buzg’unchiliklarni aniqlash tizimi OSSEC dan foydalanishni tavsiya qildi.

Muharrir yuqori imtiyozlar bilan ishlayotganida foydalanuvchilar uchinchi tomon plaginlarini yuklamasliklari kerak.

Bundan tashqari, Azuri matn muharriri ishlab chiquvchilariga rejimlarni farqlash uchun papka va fayl ruxsat modellarini o’zgartirishni va iloji bo’lsa, yuqori imtiyozlarga ega plaginlarni yuklashni qo’lda tasdiqlash uchun interfeys qo’shishni maslahat berdi.