Linux-Desktop KDE: Sicherheitslücke in Ark erlaubte Angriffe aus der Ferne
Zusammenfassung
Im KDE-Archivmanager Ark steckte 2020 eine Path-Traversal-Lücke (CVE-2020-16116), über die präparierte Archive Dateien an beliebige Stellen im Home-Verzeichnis schreiben konnten. So ließen sich etwa eine manipulierte .bashrc oder ein Skript im Autostart-Ordner platzieren, nötig war aber, dass der Nutzer das Archiv entpackt. Ark 20.08.0 verhinderte das und warnte zusätzlich.
Ideen
- Pfade mit „../“ in Archiven können aus dem Zielverzeichnis ausbrechen.
- Dateien wie .bashrc oder Autostart-Einträge führen Code beim nächsten Login aus.
- Ein Proof-of-Concept lag bereits auf GitHub.
- heise korrigierte die ursprüngliche Einstufung als Angriff aus der Ferne.
Einsichten
- Entpacken ist eine Schreiboperation mit fremden Dateinamen und braucht dieselbe Vorsicht wie Codeausführung.
- Persistenz über Konfigurationsdateien im Home-Verzeichnis ist ein unterschätzter Angriffsweg.
Fakten
- Verwundbar waren Ark-Versionen bis 20.04.3.
- KDE bot neben 20.08.0 einen Patch für ältere Versionen an.
Referenzen
Kritik
- Die Meldung musste nachträglich korrigiert werden, weil sie den Angriffsvektor zunächst falsch als Remote-Angriff einordnete.
Empfehlungen
- Entpacke Archive unbekannter Herkunft zunächst mit einer Inhaltsliste und prüfe die Pfade.
- Nutze Werkzeuge, die Pfade außerhalb des Zielverzeichnisses ablehnen.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.