Last Updated on 2024-07-02 08:35 by admin

サイバーセキュリティ研究者たちは、Ubuntuオペレーティングシステムを実行しているシステムを危険にさらす可能性がある「command-not-found」というよく知られたユーティリティを悪用して、独自の悪意のあるパッケージを推奨し、システムを侵害する方法を発見しました。このツールは、インストールされていないコマンドのインストールを提案する便利なツールとして機能しますが、スナップリポジトリを通じて攻撃者によって誤って操作され、悪意のあるパッケージの欺瞞的な推奨につながる可能性があります。Ubuntuシステムにデフォルトでインストールされているcommand-not-foundは、利用可能でないコマンドを実行しようとする際に、インタラクティブなbashセッションでインストールするパッケージを提案します。提案には、Advanced Packaging Tool（APT）パッケージとスナップパッケージの両方が含まれます。

攻撃者がこのシステムを操作して、command-not-foundパッケージによって悪意のあるパッケージの推奨をさせることができれば、ソフトウェアサプライチェーン攻撃への道を開くことができます。特に、エイリアスメカニズムを悪用して、攻撃者が対応するスナップ名を登録し、ユーザーをだまして悪意のあるパッケージをインストールさせる可能性があるという潜在的な抜け穴が見つかりました。さらに、攻撃者はAPTパッケージに関連するスナップ名を主張し、悪意のあるスナップをアップロードすることができ、その結果、ユーザーがターミナルにコマンドを入力したときに提案されることになります。

例えば、「jupyter-notebook」APTパッケージのメンテナーが対応するスナップ名を主張していなかったため、攻撃者がそれを主張し、「jupyter-notebook」という名前の悪意のあるスナップをアップロードする機会がありました。さらに悪いことに、command-not-foundユーティリティは、正当なAPTパッケージよりも上に偽のスナップパッケージを提案し、ユーザーを誤解させて偽のスナップパッケージをインストールさせます。Aquaによると、APTパッケージコマンドの約26％が悪意のあるアクターによるなりすましの脆弱性にさらされており、攻撃者のアカウントの下で登録される可能性があるため、大きなセキュリティリスクを提示しています。

第三のカテゴリーには、ユーザーがタイプミスを利用して偽のスナップパッケージを提案するタイポスクワッティング攻撃が含まれます。例えば、「ifconfig」の代わりに「ifconfigg」というタイプミスをした場合、攻撃者は「ifconfigg」という名前の詐欺的なパッケージを登録し、command-not-foundがこの誤ったコマンドに誤ってマッチし、「net-tools」の提案を完全に迂回して悪意のあるスナップを推奨する可能性があります。

このように、command-not-foundユーティリティを悪用して偽のパッケージを推奨することは、深刻な懸念事項として記述されており、企業はインストール前にパッケージの出所を確認し、メンテナーの信頼性をチェックするようユーザーに促しています。APTおよびスナップパッケージの開発者には、それらのコマンドに関連するスナップ名を登録して、悪用されることを防ぐように助言されています。これらの能力がどの程度広範囲に悪用されているかは不確かであり、警戒を強化し、積極的な防御戦略をとることの緊急性が強調されています。

【ニュース解説】

Ubuntuの「command-not-found」というツールが、ユーザーを騙して悪意のあるパッケージをインストールさせる可能性があるという問題が発覚しました。このツールは、Ubuntuシステム上で未インストールのコマンドを実行しようとした際に、そのコマンドを提供するパッケージのインストールを提案する便利な機能を持っています。しかし、この機能がスナップリポジトリを介して攻撃者によって悪用されることで、悪意のあるパッケージのインストールを誘導されるリスクがあることが判明しました。

この問題の根本には、command-not-foundがAPTパッケージとスナップパッケージの両方を提案する仕組みがあります。特に、スナップパッケージに関しては、攻撃者が特定のコマンドに関連するスナップ名を先に登録することで、そのコマンドを実行しようとするユーザーに対して悪意のあるパッケージのインストールを推奨することが可能になります。

このような攻撃の一例として、正規の「jupyter-notebook」APTパッケージのスナップ名が攻撃者によって登録され、悪意のあるスナップパッケージが提案されるケースが挙げられます。さらに、タイポスクワッティング攻撃では、ユーザーがコマンド名を誤って入力した際に、その誤入力を利用して偽のパッケージを推奨することも可能です。

この問題は、ソフトウェアサプライチェーン攻撃への道を開く可能性があり、ユーザーにとっては大きなセキュリティリスクをもたらします。ユーザーは、パッケージをインストールする前にその出所を確認し、メンテナーの信頼性を検証することが重要です。また、APTおよびスナップパッケージの開発者には、関連するスナップ名を登録することで、悪用を防ぐことが推奨されています。

この問題の発覚は、オープンソースソフトウェアのセキュリティ管理における課題を浮き彫りにしています。特に、パッケージ管理システムがどのように悪用され得るか、そしてそのような悪用を防ぐためにはどのような対策が必要かという点について、開発者やユーザーがより一層の注意を払う必要があります。長期的には、このような脆弱性を悪用する攻撃の検出と防御のためのシステムやプロセスの改善が求められます。

from Ubuntu 'command-not-found' Tool Could Trick Users into Installing Rogue Packages.

admin

See Full Bio