Un investigador de seguridad llamado Dominik «zer0pwn» Penner ha publicado una prueba de concepto de una vulnerabilidad zero-day hallada en KDE Plasma, la cual permite la ejecución de código malicioso incluido ficheros .desktop (que guarda la configuración de entradas en el lanzador) y .directory (que guarda la configuración de los directorios).

Siendo más concretos, la vulnerabilidad ha sido encontrada en KDE Frameworks 5.60.0 y anteriores, impactando a las versiones 4 y 5 del entorno de escritorio KDE Plasma. Según cuentan en ZDNet, la explotación del fallo de seguridad se basa en la forma en que la clase KDesktopFile maneja los ficheros .desktop y .directory. Es importante tener en cuenta que los segundos suelen estar ocultos al ser las configuraciones individualizadas de las carpetas, mientras que los primeros suelen estar visibles al ser utilizados a modo de iniciadores de aplicaciones.

Penner ha descubierto que se puede crear ficheros .desktop y .directory con código malicioso que luego es ejecutado en el ordenador de la víctima. KDE Plasma genera un fichero .directory en cada carpeta que es visitada mediante Dolphin, y al estar este oculto y ser elemental, resulta fácil camuflarlo dentro de un fichero comprimido. El ataque seguiría los siguientes pasos:

1. El atacante crea un fichero comprimido con una carpeta en su interior, la cual a su vez contiene el fichero .directory malicioso junto a otros no dañinos.
2. La víctima descomprime la carpeta en su directorio personal y accede a esta con Dolphin.
3. Dolphin lee el fichero .directory de forma automática y el código malicioso escrito en shell entra en ejecución.

Con el fin de ofrecer una explicación más gráfica pondremos una captura de Ark para mostrar de forma más esquemática el ataque. Por lo que se puede ver, el fichero .directory está dentro de la carpeta Turok, que contiene imágenes y wallpapers de la veterana franquicia de videojuegos.

Todo eso hace que para explotar la vulnerabilidad sea necesario engañar a la víctima para que descomprima una carpeta con un fichero .directory malicioso en su interior, lo que descarta ataque remoto directo, pero igualmente termina siendo bastante fácil de explotar.

La forma en que Dominik Penner ha reportado la vulnerabilidad podría no gustar a muchos, ya que el investigador decidió no notificar al equipo de KDE en primer lugar. Penner se ha excusado diciendo que la vulnerabilidad es más un fallo de diseño que uno de seguridad (cosa que es cierta), algo a lo que ha sumado la naturaleza Open Source el escritorio Plasma. Sin embargo, la comunidad de KDE no está contenta con sus formas, comentando esta a ZDNet que hubiera preferido que el investigador contactara con ellos mediante el correo security@kde.org antes de exponer nada al público.

Veremos qué decide hacer la comunidad de KDE para al menos mitigar este fallo de diseño. Si bien su explotación requiere de engañar a la víctima, también es importante tener en cuenta la facilidad de su puesta en funcionamiento. Obviamente, y esto se puede extender a los usuarios de Windows y Mac, lo recomendable es no descargar ningún tipo de fichero procedente de un sitio no confiable o dudoso. Os dejamos con el vídeo publicado por Dominik Penner.