Bei KDE wurde kürzlich eine Sicherheitslücke bekannt, die wohl erstmal offen bleiben wird. Komponenten aus dem KDE-Store, der sich an verschiedenen Stellen hinter der Schaltfläche „Neue holen…“ in verschiedenen KDE-Komponenten verbirgt, können Schadcode enthalten und in den Benutzerdaten wüten.
Im konkreten Fall handelte es sich nicht um einen absichtlichen Angriff. Es handelte sich lediglich um einen Fehler. Die Ursache liegt in einer KDE-Funktionalität. Benutzer von Plasma können über den KDE-Store Themes, Widgets und Miniprogramme beziehen. Diese werden zwar nur mit Benutzerrechten installiert, können aber funktionsbedingt ziemlich uneingeschränkt Skripte etc. im jeweiligen Home-Verzeichnis ausführen. KDE benötigt dies, da nicht alle Themes und Miniprogramme über die Distributionen paketiert werden können.
Der Vorfall zeigt einmal mehr, dass Linux auf dem Desktop ein ziemlicher Ponyhof ist. Wenn man es schonungslos auf den Punkt bringt, sieht es so aus: Die KDE-Entwickler bauen eine Sideload-Option für bösartigen Code ein, es fällt jahrelang niemandem auf und nachdem es dann doch auffällt, ist die erste Reaktion im Tenor: „Da kann man nichts machen, ohne die Funktionalität einzuschränken“. Die Nutzer müssen einfach aufpassen und vielleicht kann es eine Warnung geben. Eine Kuratierung wäre wünschenswert, ist aber nicht so schnell umsetzbar und bindet Ressourcen.
Die Nachlässigkeit bei KDE ist die eine Seite der Medaille. Sie ist vermutlich auch deshalb nicht so schlimm, weil diese KDE-Funktion nie besonders exzessiv genutzt wurde und die meisten Anwender mit dem arbeiten, was standardmäßig mitgeleifert wird, weil das bei KDE schon sehr viel ist. Kombiniert wird diese Nachlässigkeit bei KDE mit der immer noch völlig unterschätzten Gefahr fehlender Rechtebeschränkungen innerhalb des Benutzerverzeichnisses. Immer noch geben sich zu viele Linux-Anwender der Illusion hin, dass Schadcode nur dann gefährlich ist, wenn er mit Administratorrechten ausgeführt wird. Ein massiver Datenverlust im Home-Verzeichnis reicht bei nachlässigen Backups aus (und die meisten Anwender sind nachlässig bei Backups). Programme werden unter Linux traditionell kaum eingehegt, sondern können im Home-Verzeichnis nach Belieben schalten und walten.
Machen wir uns nichts vor. Im Falle eines größeren Malware-Drucks wären solche Funktionen fatal und würden massiv ausgenutzt.
Die Bemerkung „es fällt jahrelang niemandem auf“ trifft es nicht so ganz. Das Problem ist hier eigentlich vor allem die Bezeichnung „globales Theme“. Ob Root oder normaler Account, wer sich ein „Widget“ installiert, rechnet wie in einem App-Store oder bei Browsererweiterungen mit ausfühbarem Code. Dass globale Themes aber mehr sind als Icons, Hintergrundbild und Farbschema und eben auch Widgets und Installationsroutinen enthalten können, ist nicht offensichtlich.
Devs und versierte Nutzende wussten das immer, denen musste nichts auffallen. Hier fehlte halt der Blick für die „Normalos“. Es gab zwar immer eine Warnung vor unkontrollierten Inhalten, aber die wirkt wenig eindringlich, weil sie nicht benennt, dass Code installiert wird und weil sie bei Iconsets dieselbe ist.
Ob es eingeschränktere Rechte braucht, weiß ich nicht, aber eine eingeschränkte API o.ä. für die Installation hätte das konkrete Problem behoben. Dass eine leere Umgebungsvariable den Löschvorgang dermaßen ausweitet, ist vermeidbar.
Ist es möglich, dass eine eine ähnliche Gefahr bei den Gnome Erweiterungen besteht?
Das habe ich mich auch gefragt, aber ich konnte dazu nichts finden.
EvilGnome Backdoor
https://news.sophos.com/en-us/2019/07/25/evilgnome-linux-malware-aimed-at-your-laptop-not-your-servers/
https://www.bleepingcomputer.com/news/security/new-evilgnome-backdoor-spies-on-linux-users-steals-their-files/
Mit den Gnome Tracker Miner sollte man sich auch mal beschäftigt haben:
GNOME Linux systems exposed to RCE attacks via file downloads
https://www.bleepingcomputer.com/news/security/gnome-linux-systems-exposed-to-rce-attacks-via-file-downloads/
Bei Gnome, wie auch bei KDE Plasma haben die Tracker Dienste bei mir in der Vergangenheit immer wieder für Probleme gesorgt, so dass ich diese immer direkt deaktiviere.