Ubuntu: “command-not-found” usato per diffondere malware

Un recente difetto logico tra il sistema di suggerimento dei pacchetti “command-not-found” di Ubuntu e il repository dei pacchetti snap consentirebbe a hacker di diffondere pacchetti Linux dannosi a utenti ignari. Il problema nasce dalla capacità dell'utility di suggerire pacchetti snap da installare quando mancano senza un meccanismo di convalida per garantire l’autenticità dei pacchetti. A rilevare tale bug sono stati i ricercatori di Aqua Nautilus. Quest’ultimi hanno scoperto che circa il 26% dei comandi dei pacchetti Advanced Package Tool (APT) sono a rischio di imitazione da parte di pacchetti snap dannosi. Ciò comporta un rischio significativo per la catena di fornitura per gli utenti Linux e Windows Subsystem for Linux (WSL). Sebbene il report si concentri su Ubuntu, il problema ha implicazioni più ampie. Tutti i fork di Ubuntu o le distribuzioni Linux che utilizzano l'utility di default, insieme al sistema di pacchetti snap, sono infatti vulnerabili.

Ubuntu: come avviene l’attacco sfruttando “command-not-found”

L'utility “command-not-found” è uno script Python che suggerisce i pacchetti da installare per consentire di eseguire un programma specifico che attualmente non è installato. Il meccanismo di suggerimento dell'utility si basa su un database interno per i pacchetti APT e su un database regolarmente aggiornato dallo Snap Store per i pacchetti snap. Ciò permette la correlazione dei comandi con i pacchetti. Gli Snap possono essere pubblicati come “rigorosi” o "classici". I primi limitano il software a un ambiente sandbox e i secondi forniscono accesso illimitato, proprio come i pacchetti APT. Come spiega Aqua Nautilus, sullo Snap Store vi è l’assenza di controlli rigorosi, quindi è relativamente facile per gli aggressori pubblicare snap dannosi. Inoltre, gli analisti evidenziano il rischio di abusare della funzionalità di aggiornamento automatico dei pacchetti snap per fornire exploit "freschi" su un sistema compromesso che prende di mira i difetti appena scoperti.

Per attaccare le vittime, gli aggressori possono utilizzare alcuni metodi. Il primo consiste nell'associare comandi contenenti errori di digitazione (ad esempio, “ifconfigg” invece di “ifconfig”) a pacchetti snap dannosi. Ciò porta “command-not-found” a suggerire all'utente l'installazione di malware. Il secondo metodo prevede che gli aggressori identifichino e registrino nomi di snap non rivendicati che corrispondono a comandi o alias noti. Questo approccio sfrutta una lacuna nel sistema di denominazione e alias degli snap. Il terzo metodo prevede la registrazione di pacchetti snap dannosi per pacchetti APT legittimi in modo che l'utilità “command-not-found” li suggerisca entrambi. Per ridurre i rischi gli utenti possono verificare l'autenticità dei pacchetti che stanno per installare. È necessario anche controllare gli sviluppatori Snap in possesso di un alias che registrano nomi simili alle loro app e i manutentori dei pacchetti APT che registrano il nome Snap associato per le loro app. comandi.