Si está ejecutando un entorno de escritorio KDE en su sistema operativo Linux, debe tener mucho cuidado y evitar descargar cualquier archivo «.desktop» o «.directory» por un tiempo.

Un investigador de seguridad cibernética ha revelado una vulnerabilidad de día cero sin parches en el marco del software KDE que podría permitir que los archivos .desktop y .directory creados con fines maliciosos ejecuten silenciosamente código arbitrario en la computadora de un usuario, sin siquiera requerir que la víctima los abra.

KDE Plasma es uno de los entornos de escritorio basados ​​en widgets de código abierto más populares para usuarios de Linux y viene como un entorno de escritorio predeterminado en muchas distribuciones de Linux, como Manjaro, openSUSE, Kubuntu y PCLinuxOS.

investigador de seguridad dominik penner quien descubrió la vulnerabilidad se puso en contacto con The Hacker News, informando que existe una vulnerabilidad de inyección de comandos en el escritorio KDE 4/5 Plasma debido a la forma en que KDE maneja los archivos .desktop y .directory.

«Cuando se crea una instancia de un archivo .desktop o .directory, evalúa de manera insegura las variables de entorno y las expansiones de shell usando KConfigPrivate :: expandString () a través de la función KConfigGroup :: readEntry ()», dijo Penner.

Explotar esta falla, que afecta al paquete KDE Frameworks 5.60.0 e inferior, es simple e implica algo de ingeniería social, ya que un atacante necesitaría engañar al usuario de KDE para que descargue un archivo que contenga un archivo .desktop o .directory malicioso.

«Al usar un archivo .desktop especialmente diseñado, un usuario remoto podría verse comprometido simplemente descargando y viendo el archivo en su administrador de archivos, o arrastrando y soltando un enlace en sus documentos o escritorio», explicó el investigador.

«Teóricamente, si podemos controlar las entradas de configuración y activar su lectura, podemos lograr la inyección de comandos/RCE».

Como prueba de concepto, Penner también publicó el código de explotación de la vulnerabilidad junto con dos videos que demuestran con éxito los escenarios de ataque que explotan la vulnerabilidad de inyección de comando KDE KDesktopFile.

Aparentemente, el investigador no informó la vulnerabilidad a los desarrolladores de KDE antes de publicar los detalles y las explotaciones de PoC, dijo la comunidad de KDE al tiempo que reconoció la vulnerabilidad y aseguró a los usuarios que una solución está en camino.

«Además, si descubre una vulnerabilidad similar, es mejor enviar un correo electrónico a security@kde.org antes de hacerla pública. Esto nos dará tiempo para parchearlo y mantener a los usuarios seguros antes de que los malos intenten explotarlo», KDE dijo la comunidad.

Mientras tanto, los desarrolladores de KDE recomendaron a los usuarios que «eviten descargar archivos .desktop o .directory y extraer archivos de fuentes no confiables» durante un tiempo hasta que se solucione la vulnerabilidad.

Actualización: vulnerabilidad de inyección de comandos de parches de KDE v5.61.0

Los desarrolladores de KDE han parcheado esta vulnerabilidad eliminando toda la función de admitir comandos de shell en los archivos KConfig, una función intencional que KDE proporciona para una configuración flexible.

Según los desarrolladores, los malhechores podrían abusar de KConfig para hacer que los usuarios de KDE «instalen dichos archivos y ejecuten el código incluso sin una acción intencional por parte del usuario».

«Un administrador de archivos que intenta encontrar el ícono de un archivo o directorio podría terminar ejecutando código, o cualquier aplicación que use KConfig podría terminar ejecutando código malicioso durante su fase de inicio, por ejemplo», dijo KDE en su aviso de seguridad publicado el miércoles.

«Después de una cuidadosa consideración, se eliminó toda la función de admitir comandos de shell en las entradas de KConfig, porque no pudimos encontrar un caso de uso real para ella. Si tiene un uso existente para la función, comuníquese con nosotros para que podamos evaluar si sería posible proporcionar una solución segura «.

Se recomienda a los usuarios que actualicen a la versión 5.61.0 de KDE Frameworks 5, mientras que a los usuarios de kdelibs se les recomienda aplicar el parche para kdelibs 4.14 proporcionado en el aviso del Proyecto KDE.