Ny Linux-sårbarhed er fundet i programmet "less"

At benytte Linux’ ”less”-kommando til at gennemse indholdet af en fil, som man har downloaded fra nettet kan være en farlig operation. Det skriver Computerworld.com.

En sikkerhedsefterforsker har nemlig fundet ud af, at man, selvom man kun gennemser filen, stadig kan komme til at starte en ”Remote code execution”.

Ved første øjekast ligner det en harmløs kommando, som viser en fils indhold i et terminalvindue og giver brugeren lov til at navigere gennem den. Less giver ikke lov til at ændre noget, hvilket man har andre programmer til.

I stedet har Less den fordel, at det kan vise filerne uden at man er nødt til at bruge computerkraft på at loade hele filen, hvilket især er brugbart med store filer.

På mange Linux-distributioner, også Ubuntu og CentOS, kan Less bruges til mange flere filtyper og arkiver, billeder og pdf’er. Det er fordi, Less i disse systemer er blevet udvidet med et script kaldet lesspipe, som er afhængig af tredjeparts værktøjer til at køre filer med forskellige udvidelser.

Ifølge sikkerhedsingeniør hos Google, Michal Zalewski, er less ikke designed med ondsindet input i overvejelserne, og da han kørte et program, som tester svagheder i systemet, på programmet cpio file archiving utility – et program der støtter lesspipe, identificerede programmet hurtigt en hukommelsesbug, som kan føre til en arbitrær kørsel af en kode.

»Mens det kun er en enlig bug i cpio, er jeg ikke i tvivl om, at de andre lesspipe-programmer er lige så problematiske eller være,« siger Michal Zalewski.

I øjeblikket kan brugere af Linux beskytte sig ved at fjerne variablerne lessopen og lessclose, hvis de er sat til i deres Linux-systemer. Disse variabler er ifølge Zalewski sat til at køre lesspipe, når less kører filer som matcher de filer, som lesspipe normalt supporter.