安全研究员 Dominik Penner 披露了 Linux KDE 桌面环境上存在的一个 0day 漏洞。
根据 Dominik 的说法，此漏洞存在于 KDE v4 与 v5 版本中，该漏洞使得嵌入在 .desktop 和 .direcTory 文件中的命令在打开文件夹或者将压缩文件夹提取到桌面时即可执行，目前几乎所有 Linux 发行版都在使用易受攻击的 KDE 版本。
.desktop 和 .directory 文件是符合 freedesktop.org 标准的桌面环境使用的配置文件，它们用于配置应用和文件夹的显示方式。.desktop 文件用于在 KDE 菜单中注册应用程序，而 .directory 文件用于描述 KDE 应如何显示文件夹。
在 BleepingComputer 的采访中，Dominik 解释：“KDE 4/5 容易受到 KDesktopFile 类中的命令注入漏洞的攻击。当实例化 .desktop 或 .directory 文件时，它通过 KConfigGroup::readEntry() 函数使用 KConfigPrivate::expandString() 不安全地评估环境变量和 shell 扩展。使用特制的 .desktop 文件，当用户在文件管理器中下载和查看文件，或者将链接拖放到文档或桌面上，就会被攻击。”
声明：本站所有文章，如无特殊说明或标注，均为本站原创发布。任何个人或组织，在未征得本站同意时，禁止复制、盗用、采集、发布本站内容到任何网站、书籍等各类媒体平台。如若本站内容侵犯了原著者的合法权益，可联系我们进行处理。
