linux系统,居然被两个不懂任何技术的小孩“攻破”了。
他们只是在键盘和屏幕上一通乱按,就轻松绕过密码,进入了被锁定的linux系统桌面。
最近,一位程序员父亲就这样,眼睁睁地看着自己的电脑被孩子“玩坏”。
作为一名程序员,他首先想到的不是打骂孩子,而是——如何复现漏洞。
他发现这个漏洞确实是孩子乱按导致的,在某些特殊按键组合下,linux的屏幕锁定进程会崩溃,从而绕过了密码。
也就是说,数学名师只要有人知道了这个漏洞,无需密码就可以偷偷打开别人已经锁定的linux电脑。
他将情况反馈到官方github上,最终这个奇怪的漏洞上周被正式修复了。
高考人物素材但这并不能让程序员们放心,这些年因linux桌面进程崩溃导致的安全漏洞层出不穷,屡见不鲜,你永远不知道下一个bug会是什么。
孩子们“乱杀”的桌面系统漏洞
这两个小孩,是怎么“发现”这一漏洞的呢?
这位程序员父亲将自己的电脑锁定后,孩子们试图解锁它,就开始在电脑键盘上瞎打。
突然,屏保界面消失,孩子们成功进入了linux系统。
什么?连密码都没有输入?
他让他们再演示一次。这次,孩子们同样做到了,但依旧只是“乱敲”键盘而已。
太奇怪马克吐温的作品了。
他在两个小孩离开后,自己又悄悄地试了一下,没能成功。
不过他认为,这肯定是个漏洞,因为已经亲眼见过两次了。
这位程序员父亲所用的桌面系统是cinnamon(linux桌面环境之一),他推测,cinnamon是不是有什么奇怪的bug,在不输入密码的情况下也能解锁桌面。
当天晚上10点半,他在linux mint的github页面上反馈了这一bug,并描述了孩子们敲击键盘的场景:
他们同时按下了物理键盘和屏幕虚拟键盘,而且,尽量多按一些虚拟键盘。
消息一出,马上就有网友表示,自己同样遇到了这种问题,而且用的桌面系统也是cinnamon。
随后,linux mint程序员火速赶往现场。
检查后发现,这的确是一个bug,而且cinnamon 4.2以上的桌面系统,都会受到影响,因为这一版开始支持屏幕虚拟键盘了。
导致这个bug的具体行为是:长按“e”键,并在虚拟键盘上选中“ē”。
现在,linux mint已经为这个漏洞推出了一个新补丁,不过需要自己手动安装。
人生苦短,不如用kde(手动狗头)。
大神:17年前我就警告过他们
对于如此荒谬而简单的漏洞,自然引起各路程序员对linux桌面的吐槽。
关于这个问题的github issue页面都被程序员们玩坏了。
有人说:这个cve应该归功于孩子们…
还有人在回帖中发个表情包:我想程序员们应该会这样复现bug。
但要论吐槽最狠的,还是著名程序员大神jwz。
今天凌晨,这位大神又双叒叕发了一篇文章来吐槽此事,标题是《我已经告诉过你们之2021版》。
因为早在17年前,他就警告过cinnamon和gnome官方:
如果没有在linux上运行xscreensaver,那么可以你的屏幕就相当于没六级写作多少分有锁定。
之后每隔几年,jwz都会出来把这段话再说一遍。
jwz还调侃说:“翻车”一次是偶然,两次是巧合,三次是敌人的破坏,四次是gnome官方。
而这四次安全漏洞,jwz都有详细的记录:
cve-2019-3010,从oracle solaris屏幕保护程序可以获得特殊权限升级;
cve-2014-1949, mdvsa-2015:162:在cinnamon屏幕保护程序中按菜单键,再按esc键,就可以进入shell;
按住向下键,解锁cinnamon屏幕保护程序;
按住回车键,解锁gnome屏幕保护程序。
修bug引发的新漏洞
导致linux mint漏洞是由于3月前修复另一个bug引起的。
这个漏洞存在于linux显示服务xorg-x11-rver中,其最大威胁是对数据机密性和完整性以及系统可用性的威胁。
更让人哭笑不得的是,ubuntu 20.04在向后移植xorg的时候,由于使用了没有该bug的1.20.9版,反而逃过一劫。
当ubuntu的开发人员意识到没有打上cve-2020-25712补丁后,他们又中了新的漏洞。
结果就是,xorg更新修复以后,任何人都可以让屏幕锁定程序崩溃,然后进入桌面。
无独有偶,泰坦尼克号插曲这不禁让人想起gnome两个月前的另一个“低级”漏洞。
一位程序员通过将账户服务陷入无限循环,使gnome的账户守护程序崩溃。之后就能在锁定界面添加新的sudo用户,并获取root权限。
这个锅该让gnome来背吗?jwz认为,归根结底是因为现在的linux图形化界面根基x11存在着不可修复的严重问题:
1、锁定和身份验证是操作系统级别的问题。
尽管x11是linux计算机操作系统的核心,但它的设计没有安全性可言,锁定程序必须以普通的、非特权的用户级应用程序一样运行。
2、x11体系结构的这一错误永远无法修复。
x11太旧、太僵化,并且有太多利益相关者无法对它进行任何有意义的更改。这就是为什么人们不断尝试替换x11的原因并失败了,因为它根深蒂固。
虽然现在有wayland作为x11的替代品,但仍有网友替换为wayland后,ubuntu桌面依然存在某些缺陷。
比如唤醒电脑后,会在原来的桌面停留10~20秒才能进入锁屏状态,这个过程中桌面的隐私会一览无余。
鉴于linux桌面的安全性问题漏洞百出,为了防止未被发现漏洞遭利用,有用户建议先安装xcurelock,多上一把锁。
我热切期待着听到他们如何解决这个问题。
jwz在自己的博客里如是说。
– the end –
#linux
原文链接:量子位 责任编辑:万南
本文发布于:2023-04-04 15:08:55,感谢您对本站的认可!
本文链接:https://www.wtabcd.cn/fanwen/zuowen/5290bec1632b32cfc3258882255e3cf1.html
版权声明:本站内容均来自互联网,仅供演示用,请勿用于商业和其他非法用途。如果侵犯了您的权益请与我们联系,我们将在24小时内删除。
本文word下载地址:“熊孩子”乱敲键盘攻破了Linux桌面 大神:17年前我就警告过.doc
本文 PDF 下载地址:“熊孩子”乱敲键盘攻破了Linux桌面 大神:17年前我就警告过.pdf
留言与评论(共有 0 条评论) |