网易首页 > 网易号 > 正文 申请入驻

“熊孩子”乱敲键盘攻破Linux桌面,大神:17年前我就警告过你们

0
分享至

  

晓查 萧箫 发自 凹非寺
量子位 报道 | 公众号QbitAI

  Linux系统,居然被两个不懂任何技术的小孩“攻破”了。

  他们只是在键盘和屏幕上一通乱按,就轻松绕过密码,进入了被锁定的Linux系统桌面。

  最近,一位程序员父亲就这样,眼睁睁地看着自己的电脑被孩子“玩坏”。

  

  作为一名程序员,他首先想到的不是打骂孩子,而是——如何复现漏洞

  他发现这个漏洞确实是孩子乱按导致的,在某些特殊按键组合下,Linux的屏幕锁定进程会崩溃,从而绕过了密码。

  也就是说,只要有人知道了这个漏洞,无需密码就可以偷偷打开别人已经锁定的Linux电脑。

  他将情况反馈到官方GitHub上,最终这个奇怪的漏洞上周被正式修复了。

  但这并不能让程序员们放心,这些年因Linux桌面进程崩溃导致的安全漏洞层出不穷,屡见不鲜,你永远不知道下一个bug会是什么。

  孩子们“乱杀”的桌面系统漏洞

  这两个小孩,是怎么“发现”这一漏洞的呢?

  这位程序员父亲将自己的电脑锁定后,孩子们试图解锁它,就开始在电脑键盘上瞎打。

  

  △ 大致是这个画风

  突然,屏保界面消失,孩子们成功进入了Linux系统。

  什么?连密码都没有输入?

  他让他们再演示一次。这次,孩子们同样做到了,但依旧只是“乱敲”键盘而已。

  太奇怪了。

  他在两个小孩离开后,自己又悄悄地试了一下,没能成功。

  不过他认为,这肯定是个漏洞,因为已经亲眼见过两次了。

  这位程序员父亲所用的桌面系统是Cinnamon(Linux桌面环境之一),他推测,Cinnamon是不是有什么奇怪的bug,在不输入密码的情况下也能解锁桌面。

  

  当天晚上10点半,他在Linux Mint的GitHub页面上反馈了这一bug,并描述了孩子们敲击键盘的场景:

  他们同时按下了物理键盘和屏幕虚拟键盘,而且,尽量多按一些虚拟键盘。

  消息一出,马上就有网友表示,自己同样遇到了这种问题,而且用的桌面系统也是Cinnamon。

  随后,Linux Mint程序员火速赶往现场。

  检查后发现,这的确是一个bug,而且Cinnamon 4.2以上的桌面系统,都会受到影响,因为这一版开始支持屏幕虚拟键盘了。

  

  导致这个bug的具体行为是:长按“e”键,并在虚拟键盘上选中“ē”

  现在,Linux Mint已经为这个漏洞推出了一个新补丁,不过需要自己手动安装。

  人生苦短,不如用KDE(手动狗头)。

  大神:17年前我就警告过他们

  对于如此荒谬而简单的漏洞,自然引起各路程序员对Linux桌面的吐槽。

  关于这个问题的GitHub issue页面都被程序员们玩坏了。

  有人说:这个CVE应该归功于孩子们…

  

  还有人在回帖中发个表情包:我想程序员们应该会这样复现bug。

  

  但要论吐槽最狠的,还是著名程序员大神jwz

  今天凌晨,这位大神又双叒叕发了一篇文章来吐槽此事,标题是《我已经告诉过你们之2021版》

  

  因为早在17年前,他就警告过Cinnamon和GNOME官方:

  

如果没有在Linux上运行XScreenSaver,那么可以你的屏幕就相当于没有锁定。

  之后每隔几年,jwz都会出来把这段话再说一遍。

  jwz还调侃说:“翻车”一次是偶然,两次是巧合,三次是敌人的破坏,四次是GNOME官方。

  而这四次安全漏洞,jwz都有详细的记录:

  

  • CVE-2019-3010,从Oracle Solaris屏幕保护程序可以获得特殊权限升级;
  • CVE-2014-1949, MDVSA-2015:162:在Cinnamon屏幕保护程序中按菜单键,再按ESC键,就可以进入shell;
  • 按住向下键,解锁Cinnamon屏幕保护程序;
  • 按住回车键,解锁GNOME屏幕保护程序。

  修bug引发的新漏洞

  导致Linux Mint漏洞是由于3月前修复另一个bug引起的。

  

  这个漏洞存在于Linux显示服务xorg-x11-server中,其最大威胁是对数据机密性和完整性以及系统可用性的威胁。

  更让人哭笑不得的是,Ubuntu 20.04在向后移植xorg的时候,由于使用了没有该bug的1.20.9版,反而逃过一劫。

  当Ubuntu的开发人员意识到没有打上CVE-2020-25712补丁后,他们又中了新的漏洞。

  结果就是,xorg更新修复以后,任何人都可以让屏幕锁定程序崩溃,然后进入桌面。

  无独有偶,这不禁让人想起GNOME两个月前的另一个“低级”漏洞。

  一位程序员通过将账户服务陷入无限循环,使GNOME的账户守护程序崩溃。之后就能在锁定界面添加新的sudo用户,并获取root权限。

  

  这个锅该让GNOME来背吗?jwz认为,归根结底是因为现在的Linux图形化界面根基X11存在着不可修复的严重问题:

  1、锁定和身份验证是操作系统级别的问题。

  尽管X11是Linux计算机操作系统的核心,但它的设计没有安全性可言,锁定程序必须以普通的、非特权的用户级应用程序一样运行。

  2、X11体系结构的这一错误永远无法修复。

  X11太旧、太僵化,并且有太多利益相关者无法对它进行任何有意义的更改。这就是为什么人们不断尝试替换X11的原因并失败了,因为它根深蒂固。

  虽然现在有Wayland作为X11的替代品,但仍有网友替换为Wayland后,Ubuntu桌面依然存在某些缺陷。

  比如唤醒电脑后,会在原来的桌面停留10~20秒才能进入锁屏状态,这个过程中桌面的隐私会一览无余。

  鉴于Linux桌面的安全性问题漏洞百出,为了防止未被发现漏洞遭利用,有用户建议先安装XSecureLock,多上一把锁。

  

我热切期待着听到他们如何解决这个问题。

  参考链接:

  https://github.com/linuxmint/cinnamon-screensaver/issues/354

  https://www.zdnet.com/article/linux-mint-fixes-screensaver-bypass-discovered-by-two-kids/

  https://web.archive.org/web/20210116101222/https://www.jwz.org/blog/2021/01/i-told-you-so-2021-edition/

特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。

Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.

相关推荐
热点推荐

大摩:中芯国际部分美设备零组件供应恢复,台厂寻求更多产能

爱集微APP
2021-02-26 19:42:14

14天8.18亿,投资方收6亿难回本,吴京看了倒吸一口凉气

励志情感榜
2021-02-25 19:20:23

《你好,李焕英》票房破42亿,吴京没想到,友情投资带来千万回报

勒侃娱乐
2021-02-25 21:47:57

任贤齐出席妹妹的婚礼:妹夫偷偷请来张柏芝,两人当场抱头痛哭!

扒叔八卦
2021-02-26 04:21:31

巨贪40亿!老婆跟外人假戏真做生3娃

股盗船长
2021-02-26 00:11:46

这大概是史上“最美”伴娘吧?新郎有没有后悔没先认识闺蜜哈哈哈哈!

见证历史瞬间
2021-02-26 12:12:02

山西歌王因车祸不幸罹难,网曝车祸造成原因,高保利朋友圈最后消息公开

八卦给你听
2021-02-26 03:42:45

女演员真难,你们口里的最美丈母娘,是当年被嘲“老丑”的小乔啊

大胖果
2021-02-26 12:33:18

女人最该多吃它,每天吃一碗滋阴养颜,小脸白里透红连面膜都省了

斯佳丽的小厨房
2021-02-27 09:41:40

1.4万吨糖泄露,人像昆虫被黏成琥珀,21人被永远封印成糖人

胖福的小木屋
2021-02-26 01:19:49

2-1!1-2!36岁C罗踢疯了,冲3大纪录+16年神迹,意甲66亿元对决

侃球熊弟
2021-02-27 09:02:33

独居女人染上艾滋病后自曝:我那难以启齿的痛,今天全扒光给你们

追彩虹的人
2021-02-27 06:55:03

女子深夜路边等车,遭男子强行抱住发生身体接触,女子却无力抵抗

娱乐晓姐
2021-02-26 21:59:56

男厕所里贴“勿嘲人短,勿炫己长”,女生厕所的台词应该写什么呢?哈哈哈

八圈传播者
2021-02-22 06:19:41

快讯!英国外相声称,支持美国对叙境内民兵组织作出回应

环球网资讯
2021-02-26 20:39:16

当代中国人过得那么累,活得那么痛苦,为什么?

我们的百变生活
2021-02-27 04:37:47

辉瑞mRNA疫苗的真实世界研究来了:效力与临床试验结果一致

澎湃新闻
2021-02-25 15:11:04

朱向东任北京市人民政府副秘书长

澎湃新闻
2021-02-27 10:32:00

死路一条!日本政府放话:中国海警若登钓鱼岛,日方或将“开火”

谷火平
2021-02-26 17:16:36

警惕这个没有摄像头的消费场所,它正成为性侵者的法外之地

深後
2021-02-26 12:18:28
2021-02-27 11:48:53
量子位
量子位
追踪人工智能动态
4596文章数 86051关注度
往期回顾 全部

科技要闻

王恩哥院士:要把简单的事情做正确

头条要闻

李诞带货女性内衣翻车 中央政法委长安剑:本质是猥琐

头条要闻

中国人过元宵 美国政坛好戏开演!特朗普被要求赔偿

体育要闻

王恩哥院士:要把简单的事情做正确

娱乐要闻

美吗?Baby穿汉服扎马尾现身生日会

财经要闻

汽车要闻

来自农机厂的你 Karma GS-6正式亮相

态度原创

家居
本地
教育
房产
公开课

家居要闻

日本大叔月薪3万却住二手房车 用6块钱的炉子做饭

本地新闻

拒绝当舔狗的年轻人,为啥都去舔猫了?

教育要闻

这所高校开“烧饭课”考试方式亮了 网友:不愧是你

房产要闻

又一城"集中供地"落地!专家:小房企有捡漏机会了

公开课

哪些姓,有中国古老王室血脉?这就是文化底蕴