یک آسیب‌پذیری جدید در کتابخانه متن‌باز libcue افشاگری شده است که اجازه می‌دهد حمله‌کنندگان کد دلخواهی را بر روی سیستم‌های لینوکسی که از محیط دسکتاپ GNOME استفاده می‌کنند، اجرا کنند. این کتابخانه که برای تجزیه فایل‌های cue sheet طراحی شده، به طور پیش‌فرض در نسخه‌های جدید GNOME گنجانده شده است.
چگونگی کارکرد آسیب‌پذیری
فایل‌های cue sheet، فایل‌های متنی ساده‌ای هستند که طرح موارد صوتی روی یک CD را نشان می‌دهند، مانند طول، نام آهنگ، و نام موسیقی‌دان. این فایل‌ها معمولاً با فرمت صوتی FLAC همراه هستند. حمله‌کنندگان می‌توانند از این آسیب‌پذیری بهره‌مند شوند تا کد خبیثی را اجرا کنند. برای این کار، کافی است کاربر یک فایل .CUE خراب را دانلود کند.
روش حمله
Kevin Backhouse، پژوهشگر امنیتی در GitHub، این آسیب‌پذیری را کشف کرده است. وی توضیح می‌دهد که برای بهره‌برداری از این آسیب‌پذیری، کاربر باید یک فایل .CUE خراب را دانلود کند که سپس در پوشه ~/Downloads ذخیره می‌شود. آسیب‌پذیری حافظه فعال می‌شود زمانی که فرآیند tracker-extract به طور خودکار فایل ذخیره شده را تجزیه می‌کند.
Backhouse در توییتر یک ویدیو از نمونه استفاده مخرب از این آسیب‌پذیری منتشر کرده است. او همچنین اظهار داشته که نمونه‌های کاربردی این آسیب‌پذیری را برای توزیع‌های محبوب اوبونتو و فدورا آماده کرده است.
توصیه‌ها و اقدامات پیشگیرانه
در حالی که بهره‌برداری موفق از CVE-2023-43641 نیاز به فریب کاربران دارد تا یک فایل .cue را دانلود کنند، مدیران سیستم توصیه می‌شوند تا سیستم‌ها را به‌روز کنند و ریسک‌های امنیتی ناشی از این آسیب‌پذیری را کاهش دهند. همچنین کاربران باید از دانلود فایل‌های ناشناس خودداری کرده و از منابع معتبر استفاده کنند.
این آسیب‌پذیری تهدید جدی برای امنیت سیستم‌های لینوکسی محسوب می‌شود و باید هرچه سریع‌تر رفع شود. پژوهشگران امنیتی توصیه می‌کنند کاربران و مدیران سیستم بلافاصله اقدامات احتیاطی لازم را برای افزایش امنیت لینوکس انجام دهند.
