Ubuntun Apport-kaatumisilmoitustyökalusta on löytynyt vakava haavoittuvuus. Canonical julkaisi korjauksen vain kaksi päivää sitten.

Apport-työkalu on haavoittuvainen Ubuntun 12.10 -versiosta eteenpäin. Haavoittuva koodi on ollut mukana työkalussa elokuusta 2012. Canonical on kuitenkin julkaissut korjaavan päivityksen 14. joulukuuta, ja se kannattaa asentaa mahdollisimman pian.

Donncha O’Cearbhaillin mukaan Apport-työkalu voidaan huijata avaamaan saastutettu kaatumisilmoitus, joka sisältää Python-koodia. Kun kaatumisilmoitus avataan, haittakoodin ajo käynnistetään.

O’Cearbhaillin julkaisi löydöksestään esimerkkivideon, jossa haavoittuvuutta käytetään hyväksi. Samalla hän muistuttaa myös avoimen lähdekoodin sovellusten säännöllisestä tarkistamisesta, sillä myös ne voivat sisältää haavoittuvuuksia, jotka mahdollistavat rikollisten ottavan haltuun järjestelmät, jotka ovat jätetty päivittämättä, Softpedia kirjoittaa.

O’Cearbhaillin mukaan häntä on lähestytty ja pyydetty myymään haavoittuvuuden tiedot. Vastineeksi on luvattu 10 000 dollaria. O’Cearbhaill ei suinkaan ole ainoa tietoturvatutkija, jota rikolliset ovat lähestyneet. Tästä syystä hän katsoo Microsoftin ja Googlen olevan oikeilla jäljillä omilla bug bounty -palkkio-ohjelmillaan.

Apport on myös mahdollista poistaa käytöstä. Mitään varsinaista haittaa tästä ei ole. Käytöstä poistaminen vain poistaa samalla mahdollisuuden lähettää Canonicalille tiedot sovelluksen kaatumisesta. Toiminto voidaan poistaa käytöstä asetustiedoston /etc/default/apport kautta.