В Rust репозитория crates.io е открит злонамерен пакет rustdecimal

Разработчиците на езика Rust предупредиха за откритие в репозитория crates.io на пакета rustdecimal, съдържащ злонамерен код. Пакетът е основан на легитимния пакет rust_decimal и за разпространение е използвал сходство в името (типсквотинг), разчитайки на това, че потребителят няма да забележи отсъствието на символа подчертаване, когато търси или избира модул от списъка.

Забележително е, че посочената стратегия се оказа успешна и по брой на изтеглянията фалшивият пакет едва изостава от оригинала (~111 хиляди изтегляния на rustdecimal 1.23.1 и 113 хиляди на оригиналния rust_decimal 1.23.1). При това повечето изтегляния бяха на безобиден клон, който не съдържаше злонамерен код. Злонамерените промени бяха добавени на 25 март в версия rustdecimal 1.23.5, която до откритие на проблема и блокиране на пакета беше изтеглена около 500 пъти (предполага се, че голяма част от изтегленията на злонамерената версия са извършени от ботове) и не беше използвана в зависимостите на други пакети, налични в репозитория (не е изключено, че злонамереният пакет е бил в зависимостите на крайни приложения).

Злонамерените промени се изразяваха в добавянето на нова функция Decimal::new, в реализацията на която съдържаше обфускиран код за изтегляне от външен сървър източник и стартиране на изпълним файл. При извикване на функцията се извършваше проверка на променливата на средата GITLAB_CI, при зададено което от външен сървър се изтегляше файл /tmp/git-updater.bin. Изтегленият злонамерен обработчик поддържаше работа в Linux и macOS (платформата Windows не беше поддържана).

Предполагаше се, че злонамерената функция ще бъде изпълнена по време на тестването на системи за непрекъсната интеграция. След блокирането на rustdecimal администраторите на crates.io извършиха анализ на съдържанието на репозитория за наличие на подобни злонамерени вставки, но не откриха проблеми в други пакети. На собствениците на системи за непрекъсната интеграция на базата на платформата GitLab се препоръчва да се уверят, че тестваните на тях сървъри проекти не са използвали в зависимостите пакет rustdecimal.

Източник: opennet.ru