패치되지 않은 리눅스 ‘Pling Store’ 플랫폼의 공급망 취약점 발견

 

 

Unpatched Supply-Chain Flaw Affects 'Pling Store' Platforms for Linux Users

 

사이버보안 연구원들이 리눅스 플랫폼용 Pling 기반 무료 오픈소스 소프트웨어 마켓플레이스에서 패치되지 않은 치명적인 취약점을 발견했습니다. 해당 취약점을 악용할 경우 단계적 공급망 공격을 실행 가능하고 원격 코드 실행으로 이어질 수 있는 것으로 나타났습니다.

 

“Pling 플랫폼 기반 리눅스 마켓플레이스에서 공급망 공격에 잠재적으로 악용될 수 있으며 PlingStore 애플리케이션에서 실행되는 모든 웹사이트에서 트리거될 수 있는 웜 XSS(Cross Site Scripting) 취약점이 발견되었습니다.”

 

해당 취약점의 영향을 받는 Pling 기반 앱 스토어는 아래와 같습니다.

 

appimagehub.com

store.kde.org

gnome-look.org

xfce-look.org

pling.com

 

사용자는 PlingStore를 통해 리눅스 배포판의 소프트웨어 센터를 통해 다운로드 할 수 없는 리눅스 소프트웨어, 테마, 아이콘, 기타 애드온을 검색 및 설치할 수 있습니다.

 

이 취약점은 상점의 상품 페이지가 HTML 또는 임베디드 미디어 필드를 파싱하는 방식에 존재하며, 공격자가 잠재적으로 임의 코드를 실행할 수 있는 악성 JavaScript 코드를 삽입할 수 있습니다.

 

 

<이미지 출처 : https://positive.security/blog/hacking-linux-marketplaces>

 

 

“이 Stored XSS 취약점은 다른 사용자의 콘텍스트에서 Pling 스토어 액티브 리스팅을 수정하거나 새로운 리스팅을 게시하는데 악용될 수 있으며, 결과적으로 웜 XSS가 발생합니다.”

 

더욱 큰 문제는 공격자가 공격 코드를 포함시켜 전파시키기 위해 트로이목마화된 소프트웨어 버전을 업로드하고 피해자의 리스팅의 메타데이터를 조작할 수 있는 공급망 공격 XSS 웜을 발생시키는데 악용할 수 있다는 것입니다.

 

Positive Security는 PlingStore 앱이 앞서 언급된 모든 앱스토어에 대한 모든 앱스토어에 대한 단일 디지털 스토어프론트 역할을 하며, 해당 XSS 익스플로잇이 앱 내에서 트리거될 수 있으며, 샌드박스 우회와 결합할 경우 원격 코드 실행으로 이어질 수 있다고 지적했습니다.

 

Bräunlein은 이에 대해 아래와 같이 언급했습니다.

 

“해당 애플리케이션이 다른 애플리케이션을 설치할 수 있기 때문에, OS 수준에서 코드를 실행할 수 있는 또 다른 빌트인 메커니즘을 가지고 있습니다. 이 메커니즘은 PlingStore 앱이 백그라운드에 오픈되어 있을 경우 모든 웹사이트에서 임의 네이티브 코드를 실행하는데 악용될 수 있습니다.”

 

즉, 사용자가 브라우저를 통해 악성 웹사이트를 방문할 경우 Pling 앱이 백그라운드에서 실행되는 동안 내부에서 XSS가 트리거된다는 것입니다.

 

웹사이트의 JavaScript 코드는 앱에서 메시지를 수신하는데 사용되는 WebSocket 서버에 연결할 수 있을 뿐 아니라, .AppImage 패키지 파일을 다운로드 및 실행하여 임의 네이티브 코드를 실행하는 메시지를 보내는데도 사용됩니다.

 

 

<이미지 출처 : https://positive.security/blog/hacking-linux-marketplaces>

 

 

또한 GNOME Shell Extensions에서도 유사한 XSS 취약점이 발견되었습니다. 이 취약점이 악용될 경우 Gnome 셸 통합 브라우저 확장 프로그램에 악성 명령을 보내거나, 퍼블리싱된 확장 프로그램에 백도어를 설치하는 것도 가능합니다.

 

연구원들은 2월 24일 이 취약점에 대해 제보했으며, KDE 프로젝트와 GNOME Security는 이 취약점에 대한 패치를 발행했다고 밝혔습니다.

 

PlingStore와 관련된 RCE 취약점이 아직까지 패치되지 않았다는 점을 감안해, 수정 사항이 적용될 때까지 Electron 애플리케이션을 실행하지 않을 것을 권장합니다.

 

 

 

 

 

출처:

https://thehackernews.com/2021/06/unpatched-critical-flaw-affects-pling.html

https://positive.security/blog/hacking-linux-marketplaces