Seorang peneliti keamanan telah menemukan kerentanan code injection di komponen handler thumbnail dari GNOME File Manager yang memungkinkan peretas mengeksekusi kode berbahaya pada mesin Linux yang ditargetkan.
Dijuluki Bad Taste, kerentanan (CVE-2017-11421) ditemukan oleh peneliti asal Jerman, Nils Dagsson Moskopp, yang juga merilis kode proof-of-concept di blognya untuk menunjukkan kerentanannya.
Kerentanan code injection ini berada di “gnome-exe-thumbnailer” – alat untuk membuat thumbnail dari file executable Windows (.exe/.msi/.dll/.lnk) untuk GNOME, yang mengharuskan pengguna memasang aplikasi Wine di sistem mereka untuk membukanya.
Bagi yang belum tahu, Wine adalah perangkat lunak bebas dan open-source yang memungkinkan aplikasi Windows berjalan pada sistem operasi Linux.
Moskopp menemukan bahwa saat menavigasi ke direktori yang berisi file .msi, File GNOME mengambil nama file sebagai masukan yang dapat dijalankan dan menjalankannya untuk membuat thumbnail.
Untuk keberhasilan eksploitasi kerentanan Bad Taste, penyerang dapat mengirim file installer Windows (MSI) yang dibuat dengan kode VBScript berbahaya dalam nama filenya, yang jika diunduh pada sistem yang rentan akan membahayakan mesin tanpa interaksi pengguna lebih lanjut.
“Alih-alih mengurai file MSI untuk mendapatkan nomor versinya, kode ini menciptakan sebuah naskah yang berisi nama file dimana thumbnail harus ditampilkan dan dijalankan dengan menggunakan Wine,” Moskopp menjelaskan sambil menunjukkan PoC-nya.
“Skrip dibuat dengan menggunakan template, yang memungkinkan penyisipan VBScript dalam nama file dan memicu eksekusi.”
Kerentanan ini bisa dimanfaatkan oleh hacker potensial dengan menggunakan vektor serangan lainnya, misalnya dengan langsung memasukkan drive USB dengan file berbahaya yang tersimpan di dalamnya, atau mengirimkan file berbahaya tersebut melalui unduhan drive-by-download.
Cara Melindungi Diri Dari Kerentanan Bad Taste
Moskopp melaporkan kerentanan ini ke Proyek GNOME dan Proyek Debian. Dan keduanya telah memperbaiki kerentanan file gnome-exe-thumbnailer.
Kerentanan tersebut mempengaruhi gnome-exe-thumbnailer versi sebelum 0.9.5. Jadi, jika menjalankan OS Linux dengan desktop GNOME, periksa pembaruan segera sebelum kamu terpengaruh oleh kerentanan kritis ini.
Sementara itu, Moskopp juga menyarankan pengguna untuk:
- Hapus semua file di /usr/share/thumbnailers.
- Jangan gunakan GNOME File Manager.
- Hapus semua perangkat lunak yang memfasilitasi eksekusi nama file secara otomatis.
Moskopp juga menyarankan pengembang untuk tidak menggunakan “bug parser ad-hoc parsial” untuk mengurai file, untuk “mengenali input secara keseluruhan sebelum memprosesnya,” dan menggunakan unparser, bukan template.
