Немецкий исследователь Нильс Дагссон Москопп (Nils Dagsson Moskopp) обнаружил в gnome-exe-thumbnailer уязвимость CVE-2017-11421, которой дал название Bad Taste.
Gnome-exe-thumbnailer используется для создания эскизов исполняемых файлов Windows (.exe, .msi, .dll, .lnk) в GNOME Files (ранее Nautilus). В итоге найденный специалистом баг работает для множества Linux-дистрибутивов, применяющих GNOME desktop.
Исследователь пишет, что в имена файлов MSI можно внедрить вредоносный VBScript. Когда пользователь обратится к директории, где сохранен такой файл MSI, GNOME Files произведет автоматический парсинг, с целью создания иконки. Но и вредоносный код, содержащийся файле, будет выполнен.
Сердце проблемы лежит в конфигурационных файлах, расположенных в /usr/share/thumbnailers. Москопп рекомендует удалить оттуда все содержимое или временно перестать пользоваться GNOME Files вообще. При этом патч для gnome-exe-thumbnailer уже был выпущен в версии 0.9.5, а разработчиков популярных дистрибутивов уведомили о проблеме. К примеру, в Debian проблема уже была устранена.
