Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert qu’il est possible pour les acteurs malveillants d’exploiter un utilitaire bien connu appel\u00e9 command-not-found pour recommander leurs propres packages malveillants et compromettre les syst\u00e8mes ex\u00e9cutant le syst\u00e8me d’exploitation Ubuntu.<\/p>\n
“Bien que ‘command-not-found’ soit un outil pratique pour sugg\u00e9rer l’installation de commandes d\u00e9sinstall\u00e9es, il peut \u00eatre manipul\u00e9 par inadvertance par des attaquants via le r\u00e9f\u00e9rentiel Snap, conduisant \u00e0 des recommandations trompeuses de packages malveillants”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua dans un communiqu\u00e9. rapport<\/a> partag\u00e9 avec The Hacker News.<\/p>\n Install\u00e9 par d\u00e9faut sur les syst\u00e8mes Ubuntu, commande introuvable sugg\u00e8re<\/a> packages \u00e0 installer dans des sessions bash interactives lorsque vous tentez d’ex\u00e9cuter des commandes qui ne sont pas disponibles. Les suggestions incluent \u00e0 la fois l’outil Advanced Packaging Tool (APTE<\/a>) et paquets instantan\u00e9s<\/a>.<\/p>\n Lorsque l’outil utilise une base de donn\u00e9es interne (“\/var\/lib\/command-not-found\/commands.db”) pour sugg\u00e9rer des packages APT, il s’appuie sur le “conseiller-instantan\u00e9<\/a>” pour sugg\u00e9rer des clich\u00e9s qui fournissent la commande donn\u00e9e.<\/p>\n Ainsi, si un attaquant est capable de jouer avec ce syst\u00e8me et de faire en sorte que son paquet malveillant<\/a> recommand\u00e9 par le package command-not-found, il pourrait ouvrir la voie \u00e0 des attaques contre la cha\u00eene d\u2019approvisionnement logicielle.<\/p>\n Aqua a d\u00e9clar\u00e9 avoir d\u00e9couvert une faille potentielle dans laquelle le m\u00e9canisme d’alias pourrait \u00eatre exploit\u00e9 par l’acteur malveillant pour potentiellement enregistrer le nom instantan\u00e9 correspondant associ\u00e9 \u00e0 un alias et inciter les utilisateurs \u00e0 installer le package malveillant.<\/p>\n De plus, un attaquant pourrait revendiquer le nom du snap associ\u00e9 \u00e0 un package APT et t\u00e9l\u00e9charger un snap malveillant, qui finirait ensuite par \u00eatre sugg\u00e9r\u00e9 lorsqu’un utilisateur tape la commande sur son terminal.<\/p>\n “Les responsables du package APT ‘jupyter-notebook’ n’avaient pas revendiqu\u00e9 le nom instantan\u00e9 correspondant”, a d\u00e9clar\u00e9 Aqua. “Cet oubli a laiss\u00e9 une fen\u00eatre d’opportunit\u00e9 \u00e0 un attaquant pour le revendiquer et t\u00e9l\u00e9charger un snap malveillant nomm\u00e9 ‘jupyter-notebook’.”<\/p>\n Pour aggraver les choses, l’utilitaire command-not-found sugg\u00e8re le package snap au-dessus du package APT l\u00e9gitime pour jupyter-notebook, induisant ainsi les utilisateurs en erreur en les incitant \u00e0 installer le faux package snap.<\/p>\n Selon Aqua, jusqu’\u00e0 26 % des commandes du package APT sont vuln\u00e9rables \u00e0 l’usurpation d’identit\u00e9 par des acteurs malveillants, ce qui pr\u00e9sente un risque de s\u00e9curit\u00e9 important, car elles pourraient \u00eatre enregistr\u00e9es sous le compte d’un attaquant.<\/p>\n Une troisi\u00e8me cat\u00e9gorie concerne les attaques de typosquatting dans lesquelles les erreurs typographiques commises par les utilisateurs (par exemple, ifconfigg au lieu de ifconfig) sont exploit\u00e9es pour sugg\u00e9rer de faux packages snap en enregistrant un package frauduleux sous le nom \u00ab ifconfigg \u00bb.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/02\/Loutil-Ubuntu-commande-introuvable-pourrait-inciter-les-utilisateurs-a-installer.jpg\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/div>\n