Linux用户小心！“Bad Taste”漏洞利用MSI文件运行任意代码

更多全球网络安全资讯尽在E安全官网www.easyaq.com

E安全7月21日讯 德国IT专家尼尔斯·丹格森·莫斯卡普发现了一个漏洞，并将其命名为“Bad Taste”，攻击者可以使用恶意MSI文件在Linux系统上运行恶意代码。

MSI文件:

Windows Installer的数据包，它实际上是一个数据库，包含安装一种产品所需要的信息以及在很多安装情形下安装（和卸载）程序所需的指令和数据。MSI文件将程序的组成文件与功能关联起来。此外，它还包含有关安装过程本身的信息：如安装序列、目标文件夹路径、系统依赖项、安装选项和控制安装过程的属性。（来源于百度）

Gnome 文件管理器现Bad Taste漏洞

Bad Taste漏洞存在于Gnome-Exe-Thumbnailer（Gnome Files使用的第三方图像处理工具软件Thumbnailer）之中。

Gnome先前被称为Nautilus，是Linux发行版（使用Gnome桌面）默认的文件管理器。

莫斯卡普发现，他能在MSI文件名内隐藏恶意VBScript（轻量级的解释型脚本语言）。当用户访问恶意MSI文件所在计算机的文件夹时，Gnome会自动解析文件，从内容中提取图标并将图标显示在文件管理器窗口中。

问题是，当解析MSI文件寻找图标时，该Thumbnailer脚本还会读取文件名，并执行其中发现的代码。

漏洞的核心是位于/usr/share/thumbnailers 的Thumbnailer配置文件，Gnome使用这些配置文件解析Linux电脑上保存的文件，以显示图标或生成缩略图。

用户如何自我保护？

为了避免受该漏洞影响，莫斯卡普推荐用户删除/usr/share/thumbnailers的所有文件，或暂时停止使用Gnome文件。

莫斯卡普在博客上发布了演示Bad Taste漏洞的PoC代码。他发布的演示代码只丢下用户电脑上带有badtaste.txt的空文件，但攻击者可能会造成更严重的影响。

莫斯卡普表示他将此问题报告给了Debian项目组，漏洞于三个小时后得以修复。该漏洞在Gnome-Exe-Thumbnailer（负责在Gnome应用内解析MSI和EXE文件）中也已被修复。

Bad Taste提供初步立足点

为了利用该漏洞，攻击者首先可能需要诱骗受害者下载MSI文件。

虽然这需要一些聪明的社会工程学攻击手段，但莫斯卡普则表示，攻击者能通过路过式下载（不希望用户知晓的前提下生成的下载行为）以及不询问用户是否保存文件的Web浏览器利用Thumbnailer漏洞。

例如，Chrome就是为用户提供自动下载设置的浏览器之一。安全研究人员过去曾提醒Google这项功能存在风险，因为此功能已被融合到各种攻击链中，例如使用SCF文件窃取Windows凭证。

虽然莫斯卡普未通过路过式下载测试Bad Taste漏洞，但他推测，诸如这类简单的Web媒介能被用来强制将MSI文件传送给运行Linux发行版的用户。即使用户注意到强制下载的情况，大多数用户会访问下载文件夹检查可疑文件，但这可能会导致漏洞代码执行。

攻击者通常部署Bad Taste这类漏洞在易受攻击的系统上获得初步立足点。

Bad Taste攻击的严重吗？

Bad Taste攻击的严重程度目前取决于攻击者将其它漏洞利用代码添加到MSI文件名的能力。这是因为Bad Taste漏洞利用代码要借助受害者的权限加以执行。为了造成更严重的破坏力，攻击者需要将访问权限提升到Root级别，这通常要求将Root漏洞利用与Bad Taste捆绑，从而将初始访问权限提升至无限制访问本地资源的权限。

研究人员发布的PoC地址见：http://t.cn/RKu0d5D

21
E安全推荐文章

官网：www.easyaq.com

2017年7月