Угроза безопасности из-за автоматической обработки мультимедийных файлов

Угроза безопасности из-за автоматической обработки мультимедийных файлов

Угроза безопасности из-за автоматической обработки мультимедийных файлов

Крис Эванс (Chris Evans), известный эксперт по компьютерной безопасности и автор защищенного FTP-сервера vsftpd, обратил внимание на фундаментальные проблемы в организации работы с новыми файлами в GNOME и продемонстрировал на практике возможность их эксплуатации, показав как просто загрузив специально оформленный файл в систему можно добиться выполнения своего кода.

Сама по себе проблема с автоматической обработкой новых файлов в системе не нова и уже давно применяется для эксплуатации уязвимостей в библиотеках для обработки изображений (при открытии нового носителя в некоторых файловых менеджерах автоматически вызываются обработчики для создания пиктограмм с эскизами). Исследование Криса Эванса показывает, что проблема остаётся недооцененной и представляет большую угрозу для безопасности пользовательских Linux-систем.

В современных дистрибутивах Linux поставляется достаточно обширный набор плагинов Gstreamer для обработки различных форматов видео и изображений. При этом огромная доля из этих плагинов написана без оглядки на обеспечение безопасности и изобилует ошибками. В то же время в Fedora и других дистрибутивах применяется автоматическая индексация загружаемых пользователем файлов при помощи ПО GNOME Tracker, которое извлекает из файлов метаданные при помощи имеющихся в системе библиотек. Кроме того, браузер Chrome настроен для сохранения загружаемых файлов на рабочий стол без подтверждения операции пользователем, что также приводит к автоматической обработке данных файлов при создании эскизов для рабочего стола, пишет opennet.ru.

Обилие проблемных декодировщиков контента в сочетании с автоматически обрабатывающим их приложением Tracker, которое запускается без применения изоляции SELinux, создаёт прекрасные условия для проведения атак c задействованием 0-day уязвимостей в плагинах Gstreamer. Чтобы показать, что подобные атаки вполне реальны, а не умозрительны, Крис Эванс опубликовал примеры эксплоитов, работающие в полностью обновлённом окружении Fedora Linux 24 (при желании эксплоиты легко могут быть адаптированы для Ubuntu и любых других дистрибутивов). Первый пример манипулирует уязвиомстью в gst-plugins-bad1.0/gst/vmnc/vmncdec.c и приводит к краху процесса tracker-extract при открытии в Chrome специально оформленной страницы, перенаправляющей пользователя на avi-файл с эксплоитом.

 

 

Второй пример затрагивает уязвимость в gst-plugins-good/gst/flx/gstflxdec.c и предлагает специально оформленный файл в формате FLAC, открытие которого в Rhythmbox приводит к запуску калькулятора. Эксплоит не является универсальным и завязан на конкретные сборки Rhythmbox, Totem, tracker-extract или любого другого приложения, использующего GStreamer, поэтому представленный способ подходит только для совершение целевых атак на отдельные дистрибутивы (т.е. представленный FLAC-эксплоит будет работать только в Fedora 24 при обработке файлов в Rhythmbox, а для других дистрибутивов и программ потребуется переработка эксплоита).

 

 

Для обхода механизмов защиты ASLR (Address Space Layout Randomization) и DEP (Data Execution Prevention) в эксплоите не используются методы манипулирования раскладкой памяти и вычисления указателей во время эксплуатации на основе данных из дополнительных источников. Вместо этого в цикле декодирования мультимедийного потока осуществляется точечная подстановка кода, используя для определения структуры кучи данные от периодически выполняемых операций выделения и очистки памяти буферов декодирования. Определив структуру кучи осуществляется подмена данных в вызове system (в качестве альтернативы предлагается подменить код в буфере JIT).

Передачу долгов клиентов SAP российской компании сочли законной

Арбитражный суд Москвы признал законной сделку по уступке долгов российской «дочки» SAP юридической компании «Легат». В 2024 году SAP передала ей права требования за 60 млн рублей, что составило около 3% от общего объёма долгового портфеля.

Как напоминает РБК, после ухода SAP из России компания продолжила взыскивать задолженность с российских пользователей своих продуктов.

Среди должников SAP оказались многие крупные компании, в том числе интегратор КРОК, футбольный клуб «Зенит», розничная сеть «О`КЕЙ», а также ряд структур «Росатома».

В число должников вошёл и краснодарский производитель дверей «Феррони». Задолженность компании по лицензионным договорам составила 63 млн рублей. «Феррони» обратилась в суд с иском к «Легату», назвав сделку между SAP и юридической фирмой способом обхода требований указа президента № 322, который регулирует порядок расчётов с правообладателями из недружественных стран.

Однако суд встал на сторону «Легата». В решении указано, что указ № 322 распространяется исключительно на отношения между российским должником и иностранным кредитором, а при уступке права требования российской компании действие контрсанкционных мер прекращается.

По оценке опрошенных РБК юристов, это решение формирует прецедент в вопросе вывода замороженных активов иностранных вендоров, покинувших российский рынок. При этом, как отмечает старший юрист BGP Litigation Ирина Ротачкова, оно противоречит позиции Верховного суда, который ранее выносил по аналогичным делам противоположные решения. В случае если «Феррони» дойдёт до высшей судебной инстанции, у компании остаются высокие шансы на отмену данного решения.

Советник коллегии адвокатов Pen & Paper Роман Кузьмин также назвал выводы суда несоответствующими сложившейся практике. По его словам, только в октябре 2024 года арбитражные суды не менее 226 раз отказывали зарубежным правообладателям в применении механизма цессии.

RSS: Новости на портале Anti-Malware.ru