Уязвимост в RubyGems.org, позволяваща подмяна на чужди пакети

В репозиторийната система RubyGems.org е открита критична уязвимост (CVE-2022-29176), която позволява замяна на чужди пакети в репозиторията без необходимите права, чрез изтегляне (yank) на легитимен пакет и качване на файл със същото име и номер на версия вместо него.

За успешна експлоатация на уязвимостта е необходимо изпълнението на три условия:

• Атаката може да бъде извършена само на пакети, в чиито имена се използва символът дефис.
• Атакуващият трябва да може да качи gem-пакет, който има част от името си преди символа дефис. Например, ако атаката е насочена към пакета «rails-html-sanitizer», атакуващият трябва да качи собствен пакет «rails-html» в репозиторията.
• Пакетът, който е обект на атака, трябва да е създаден през последните 30 дни или да не е обновяван в продължение на 100 дни.

Уязвимостта е резултат от грешка в обработчика на действието «yank», който интерпретира част от името след дефиса като название на платформа, което е позволило да бъде инициирано изтеглянето на чужди пакети, чийто имената започват по съвпадащ начин до символа дефис. В кода на обработчика за операцията «yank» е използвано извикване на ‘find_by!(full_name: «#{rubygem.name}-#{slug}»)’, докато параметърът «slug» е предаван от собственика на пакета за определяне на изтегляната версия. Собственикът на пакета «rails-html» вместо версия «1.2.3» е могъл да посочи «sanitizer-1.2.3», което би довело до приложение на операцията върху чужд пакет «rails-html-sanitizer-1.2.3».

Проблемата беше открита от изследовател по сигурността в рамките на действаща програма за награди за откриване на проблеми с безопасността в известни отворени проекти на HackerOne. Проблемът беше решен в RubyGems.org на 5 май и по думите на разработчиците те все още не са открили следи от експлоатация на уязвимостта в логовете през последните 18 месеца. В момента е проведен само повърхностен одит и в бъдеще е планирано извършването на по-дълбока проверка.

За проверка на вашите проекти се препоръчва да се анализира историята на операциите в файла Gemfile.lock, а зловредната активност се изразява в наличието на промени, запазващи името и версията или смяна на платформата (например, когато пакетът gemname-1.2.3 е актуализиран до gemname-1.2.3-java). Като обходен метод за защита от скрита замяна на пакети в системите за непрекъсната интеграция или при публикуване на проекти, на разработчиците се препоръчва да използват Bundler с опции „—frozen“ или „—deployment“ за фиксиране на зависимостите.

Източник: opennet.ru