Linux Pling-Store RCE缝隙公告
颁布功夫 2021-06-240x00 缝隙概述
CVE ID | 时 间 | 2021-06-24 | |
类 型 | XSS、RCE | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 可用性 | 高 | |
用户交互 | 所需权限 | ||
PoC/EXP | 已公开 | 在野利用 | 否 |
0x01 缝隙详情
Pling-Store 是一款合用于 OCS 兼容网站（如 pling.com、gnome-look.org、appimagehub.com 等）的利用法式和实用法式商店，能够使用它下载、装置和利用桌面主题、图标主题、壁纸等。Pling-Store使用 Appimage 包体式，应合用于如 Ubuntu、Debian、Arch、Suse、Redhat 等刊行版。
2021年06月22日，国表安全钻研员公开披露了 Pling平台（蕴含 AppImage Hub、Gnome-Look、KDE Discover App Store、Pling.com 和 XFCE-Look）中发现的XSS和RCE缝隙，前者容易受到XSS蠕虫攻击，并可能导致供给链攻击；后者可能导致偷渡式下载攻击。
KDE Discover XSS
钻研人员首先在KDE Discover 中发现了此存储型XSS缝隙，通过在web利用法式中插入恶意剧本，当接见恶意列表时触发 XSS。这种存储型XSS可用于批改活动列表，或在其他用户的布景下在Pling-store颁布新的列表，从而导致XSS蠕虫攻击。除了典型的XSS影响表，攻击者能够通过上传后门或更改Payload进行供给链攻击。
Pling-Store RCE
所有基于Pling开发的利用法式商店都宣传使用原生的Pling-Store利用法式， 这是一个能够显示分歧网站并能够一键装置利用法式的 Electron 利用法式。
该Electron利用法式也能够触发XSS，并且当与Electron沙盒绕过结合使用时可能导致RCE。
由于在设计时，该利用法式能够装置其他利用法式，它有另一个内置的机造，能够在系统上执行代码。而当Pling-Store利用法式在后盾打开时，该机造能够被任何网站利用来运行肆意的本地代码。当XSS在利用法式内部被触发时，Payload能够成立与本地WebSocket服务器的衔接，并发送新闻以执行肆意本地代码（通过下载和执行AppImage文件）。
钻研人员颁布了PoC，批注能够通过在职何浏览器中接见恶意网站来进行攻击。
0x02 措置建议
由于无法联系到Pling开发团队，目前此缝隙暂未建复。建议使用以下一时缓解措施：
在RCE缝隙建复之前，不要运行Pring-Store Electron利用法式（最好删除AppImage）。
把稳，appimagehub.com、store.kde.org、gnome-look.org、xfce-look.org和pling.com上的账户都可能被XSS劫持，任何可下载的资产都可能被粉碎。最好注销账户，在缝隙被建复之前不要使用这些网站。
0x03 参考链接
https://positive.security/blog/hacking-linux-marketplaces
https://threatpost.com/unpatched-linux-marketplace-bugs-rce/167155/
https://breaking.systems/plingstore_rce_poc.html
0x04 功夫线
2021-06-24 VSRC颁布安全公告
0x05 附录
CVSS评分尺度官网：http://www.first.org/cvss/
京公网安备11010802024551号