Une vulnérabilité critique dans le Snap Store de Canonical permet aux attaquants de détourner des applications Linux abandonnées en achetant des domaines expirés. Cette méthode permet d'envoyer automatiquement des mises à jour malveillantes vers les systèmes des utilisateurs. Le problème a été mis en lumière dans une analyse de l'ancien ingénieur Canonical Alan Pope.
Dans le monde de la gestion de paquets Linux open source, une faille subtile mais dangereuse est apparue dans le Snap Store, la plateforme de Canonical pour distribuer les applications Ubuntu. Les attaquants exploitent des domaines expirés liés à des projets abandonnés, les utilisant pour prendre le contrôle des comptes d'éditeurs sans compromettre directement les serveurs de la boutique. Cette menace de « domaines zombies » transforme le système basé sur la confiance en un vecteur de distribution de malwares, comme détaillé dans une récente enquête d'Alan Pope, ancien responsable ingénierie et évangéliste développeur chez Canonical. Un rapport antérieur avait incorrectement attribué le travail à Daniele Procida, désormais directeur ingénierie chez Canonical, mais l'analyse et le billet de blog original appartiennent à Pope. Publié le 27 janvier 2026, les conclusions révèlent comment les métadonnées du format d'empaquetage Snap, en particulier l'e-mail de contact public dans le fichier snap.yaml, deviennent un point faible. Lorsque les développeurs abandonnent des projets, leurs domaines expirent, créant des opportunités pour des acteurs malveillants de les enregistrer à bas prix — souvent pour moins de 10 dollars — et de configurer des gestionnaires d'e-mails pour intercepter les jetons de réinitialisation de mot de passe du Snap Store. Avec l'accès au compte sécurisé, les attaquants peuvent uploader des mises à jour malveillantes qui s'installent silencieusement via les mises à jour automatiques en arrière-plan de la plateforme, potentiellement accordant des privilèges root ou permettant des activités comme le minage de cryptomonnaies et le vol de données. Cette approche détourne des applications authentiques plutôt que de les imiter par typo-squatting, amplifiant le risque dans les environnements d'entreprise dépendant des Snaps pour les serveurs et bureaux. Le travail de Pope souligne le faible seuil d'entrée pour de telles attaques, avec des outils simples disponibles pour scanner la boutique à la recherche de domaines vulnérables. La vulnérabilité persiste en raison de processus de vérification statiques, où les badges « éditeur vérifié » restent même après un changement de propriété de domaine, érodant la confiance des utilisateurs. Des problèmes similaires affectent des dépôts comme NPM et PyPI, mais le lien direct de Snap entre e-mails publics et récupération de compte le rend particulièrement sensible. La commande snap info aide davantage les attaquants en affichant ouvertement les détails de contact, privilégiant la transparence à la sécurité. Pour contrer cela, les experts prônent une vérification continue des éditeurs et le masquage des adresses e-mail, bien que de telles réformes exigent des remaniements majeurs de la plateforme. Jusque-là, les utilisateurs doivent vérifier manuellement les sources logicielles, sapant la commodité des mises à jour automatiques. Ce cas illustre des défis plus larges dans la sécurisation des chaînes d'approvisionnement logicielles, où les identités numériques dépendent de facteurs triviaux comme les renouvellements de domaines.
