多款流行文本編輯器存在漏洞
責編：mhshi ｜2018-03-19 12:07:09近日，SafeBreach 的研究人員探討了具有第三方可擴展性機制的高級文本編輯器如何被濫用來提升設備權限，并針對 Unix 和 Linux 系統檢查了幾種流行的可擴展文本編輯器（Sublime、Vim、Emacs、Gedit、pico / nano）。經過研究發現，除 pico / nano 之外，所有受檢查的編輯器都受到了一個關鍵的特權升級漏洞影響，攻擊者可以利用這個漏洞在運行易受攻擊的文本編輯器的目標設備上運行惡意代碼。
據悉，大多數現代文本編輯器允許用戶通過使用第三方插件來擴展功能，以此其增大攻擊面。 研究人員認為這種情況非常嚴重，因為第三方插件可能會受到關鍵的特權升級漏洞影響，波及到類似 WordPress 、Windows 的 Chrome、Firefox 以及 Photoshop 等流行軟件的插件。
目前該漏洞被認為與這些文本編輯器加載插件的方式有關，因為它們在加載插件時沒有正確分離常規模式和高級模式。
SafeBreach 的研究表明，這些帶有第三方插件的文本編輯器是另一種用來獲得設備特權提升的方式，并且無論編輯器中是否打開了文件，使用這種方式來獲得提升都能成功，即使是在 sudo 命令中運用常用的限制也可能無法阻止。
因此 SafeBreach 提供了的一些緩解措施：
○ 實施 OSEC 監督規則
○ 拒絕為非提升用戶編寫權限
○ 更改文件夾和文件權限模型以確保常規模式和高級模式之間的分離。
○ 在編輯器升級時阻止加載第三方插件
○ 提供一個手動界面來批準提升的插件加載
原文：http://securityaffairs.co/wordpress/70333/hacking/text-editors-hacking.html