热门文本编辑器的插件可帮助黑客提升权限
翻译：360代码卫士团队
不管你是是开发人员、设计人员还是作家，一款良好的文本编辑器总会帮你节省时间提高工作效率。
例如，Sublime 编辑器的一些所有高级文本编辑器均应具有的有用工具如“语法高亮”和“自动完成”。另外，这些高级文本编辑器还提供用户扩展功能，让用户安装并运行第三方插件，从而扩展编辑器的功能尤其是适用范围。
然而，一个已知的事实是，第三方插件会带来严重的黑客风险，不管是 WordPress 插件还是 Windows 为 Chrome、火狐或 Photoshop 准备的扩展均是如此。
SafeBreach 公司的研究员 Dor Azouri 分析了适用于 Unix 和Linux 系统的多款流行可扩展文本编辑器，包括 Sublime、vim、Emacs、Gedit 和 pico/nano，结果发现除了 pico/nano 外，所有的文本编辑器均易受一个严重的权限提升缺陷影响，攻击者可利用该漏洞在受害者机器上运行恶意代码。
问题产生的原因在于这些文本编辑器加载插件的方式。研究人员指出，这些编辑器在加载插件时对普通和提升模式进行了不正确的区分。
它们的文件夹权限完整性未得到正确维护，从而导致拥有普通用户权限的攻击者提升权限并在用户设备上执行任意代码。
简单的恶意广告活动就能导致攻击者为易受攻击的文本编辑器传播恶意扩展，从而导致文本编辑器以提升的权限运行恶意代码、安装恶意软件并远程完全控制目标计算机。
Azouri 建议 Unix 用户使用开源的基于主机的入侵检测系统 OSSEC，积极监控系统活动、文件完整性、日志和进程。
当编辑器遭提权后，用户应该避免加载第三方插件并拒绝为非权限提升用户提供写入权限。
Azouri 建议文本编辑器开发人员更改文件夹和文件权限模式以便完成对普通和权限提升模式的分离，而且如果可能的话，为用户提供批准权限提升后加载插件的人工接口。
关联阅读
原文链接
本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。