ተንኮል አዘል ኮድ ወደ Ruby ጥቅል Strong_password ተገኘ

В ታትሟል ሰኔ 25 የከበረ ድንጋይ ጥቅል Strong_password 0.7 ተገለጠ ተንኮለኛ ለውጥ (CVE-2019-13354በPastebin አገልግሎት ላይ የሚስተናገደው ባልታወቀ አጥቂ ቁጥጥር ስር ያለ የውጭ ኮድ በማውረድ እና በማስፈጸም ላይ። የፕሮጀክቱ አጠቃላይ የውርዶች ብዛት 247 ሺህ ነው, እና ስሪት 0.6 38 ሺህ ገደማ ነው. ለተንኮል አዘል ሥሪት፣ የወረዱ ቁጥር 537 ተብሎ ተዘርዝሯል፣ ነገር ግን ይህ ልቀት አስቀድሞ ከ Ruby Gems ስለተወገደ ይህ ምን ያህል ትክክል እንደሆነ ግልጽ አይደለም።

የ Strong_password ቤተ-መጽሐፍት በምዝገባ ወቅት በተጠቃሚው የተገለጸውን የይለፍ ቃል ጥንካሬ ለመፈተሽ መሳሪያዎችን ያቀርባል።
በ የጠንካራ_ይለፍ ቃል ፓኬጆችን Think_feel_do_engine (65ሺህ ማውረዶች) በመጠቀም፣ አስብ_ተሰማኝ_ዳሽቦርድ (15 ሺህ ማውረዶች) እና
ሱፐር አስተናጋጅ (1.5 ሺህ). ተንኮል-አዘል ለውጡ የታከለው ባልታወቀ ሰው የመረጃ ማከማቻውን ከጸሐፊው ተቆጣጥሯል ተብሏል።

ተንኮል አዘል ኮድ ወደ RubyGems.org ብቻ ታክሏል፣ የጂት ማከማቻ ፕሮጀክቱ አልተነካም. ችግሩ የታወቀው ከገንቢዎቹ አንዱ Strong_password በፕሮጀክቶቹ ውስጥ ለምን የመጨረሻው ለውጥ ወደ ማከማቻው ከ6 ወራት በፊት እንደጨመረ ማወቅ ከጀመረ በኋላ ነው፣ ነገር ግን በአዲስ ስም ታትሞ በ RubyGems ላይ አዲስ ልቀት ታየ። Keeper, ስለ እሱ ማንም ከዚህ በፊት ያልሰማው ምንም ነገር አልሰማሁም.

አጥቂው ችግር ያለበትን የ Strong_password ስሪት በመጠቀም የዘፈቀደ ኮድ በአገልጋዮች ላይ ሊፈጽም ይችላል። የፓስተቢን ችግር ሲታወቅ በደንበኛው የተላለፈውን ማንኛውንም ኮድ በኩኪ "__id" በኩል ለማስኬድ እና Base64 ዘዴን በመጠቀም ስክሪፕት ተጭኗል። ተንኮል-አዘል ኮድ ተንኮል-አዘል Strong_password ተለዋጭ የተጫነበትን የአስተናጋጅ መለኪያዎች በአጥቂው ቁጥጥር ስር ወዳለው አገልጋይ ልኳል።

ምንጭ: opennet.ru