Linux Pling-Store RCE误差通告

宣布时间 2021-06-24

0x00 误差概述

CVE     ID


时      间

2021-06-24

类      型

XSS、RCE

等      级

高危

远程使用

是

影响规模


攻击重漂后


可用性

高

用户交互


所需权限


PoC/EXP

已果真

在野使用

否

 

0x01 误差详情

image.png

Pling-Store 是一款适用于 OCS 兼容网站（如 pling.com、gnome-look.org、appimagehub.com 等）的应用程序和适用程序市肆，，，，，可以使用它下载、装置和应用桌面主题、图标主题、壁纸等。。。。。。。。Pling-Store使用 Appimage 包名堂，，，，，应适用于如 Ubuntu、Debian、Arch、Suse、Redhat 等刊行版。。。。。。。。

2021年06月22日，，，，，外洋清静研究员果真披露了 Pling平台（包括 AppImage Hub、Gnome-Look、KDE Discover App Store、Pling.com 和 XFCE-Look）中发明的XSS和RCE误差，，，，，前者容易受到XSS蠕虫攻击，，，，，并可能导致供应链攻击；；；；；；后者可能导致偷渡式下载攻击。。。。。。。。

 

KDE Discover XSS

研究职员首先在KDE Discover 中发明了此存储型XSS误差，，，，，通过在web应用程序中插入恶意剧本，，，，，当会见恶意列表时触发 XSS。。。。。。。。这种存储型XSS可用于修改活动列表，，，，，或在其他用户的配景下在Pling-store宣布新的列表，，，，，从而导致XSS蠕虫攻击。。。。。。。。除了典范的XSS影响外，，，，，攻击者可以通过上传后门或更改Payload举行供应链攻击。。。。。。。。

image.png

image.png

 

Pling-Store RCE

所有基于Pling开发的应用程序市肆都宣传使用原生的Pling-Store应用程序，，，，， 这是一个可以显示差别网站并可以一键装置应用程序的 Electron 应用程序。。。。。。。。

该Electron应用程序也可以触发XSS，，，，，并且当与Electron沙盒绕过连系使用时能够导致RCE。。。。。。。。

由于在设计时，，，，，该应用程序可以装置其他应用程序，，，，，它有另一个内置的机制，，，，，可以在系统上执行代码。。。。。。。。而当Pling-Store应用程序在后台翻开时，，，，，该机制可以被任何网站使用来运行恣意的外地代码。。。。。。。。当XSS在应用程序内部被触发时，，，，，Payload可以建设与外地WebSocket效劳器的毗连，，，，，并发送新闻以执行恣意外地代码（通过下载和执行AppImage文件）。。。。。。。。

研究职员宣布了PoC，，，，，批注可以通过在任何浏览器中会见恶意网站来举行攻击。。。。。。。。

 

0x02 处置惩罚建议

由于无法联系到Pling开发团队，，，，，现在此误差暂未修复。。。。。。。。建议使用以下暂时缓解步伐：

在RCE误差修复之前，，，，，不要运行Pring-Store Electron应用程序（最好删除AppImage）。。。。。。。。

注重，，，，，appimagehub.com、store.kde.org、gnome-look.org、xfce-look.org和pling.com上的账户都可能被XSS挟制，，，，，任何可下载的资产都可能被破损。。。。。。。。最好注销账户，，，，，在误差被修复之前不要使用这些网站。。。。。。。。

 

0x03 参考链接

https://positive.security/blog/hacking-linux-marketplaces

https://threatpost.com/unpatched-linux-marketplace-bugs-rce/167155/

https://breaking.systems/plingstore_rce_poc.html

 

0x04 时间线

2021-06-24  VSRC宣布清静通告

0x05 附录

CVSS评分标准官网：http://www.first.org/cvss/

image.png