В 25 юни издание на gem-пакета Strong_password 0.7 вредоносно изменение (), което зарежда и изпълнява външен код, контролиран от неизвестен злонамерен потребител, разположен на услугата Pastebin. Общо броят на изтеглянията на проекта е 247 хиляди, а версиите 0.6 – около 38 хиляди. За вредоносната версия броят на изтеглянията е посочен като 537, но не е ясно доколко това е вярно, имайки предвид, че изданието вече е изтрито от Ruby Gems.
Библиотеката Strong_password предоставя средства за проверка на надеждността на паролата, зададена от потребителя при регистрация.
използващи Strong_password пакетите think_feel_do_engine (65 хиляди изтегляния), think_feel_do_dashboard (15 хиляди изтегляния) и
superhosting (1.5 хиляди). Забелязва се, че вредоносното изменение е било добавено от неизвестно лице, заело контрола над репозитория.
Вредоносният код е добавен само на RubyGems.org, проектът не е пострадал. Проблемът е бил открит след като един от разработчиците, използващи Strong_password в своите проекти, започнал да разследва, защо последната промяна в репозитория е добавена преди повече от 6 месеца, но на RubyGems се е появила нова версия, публикувана от нов мейтенър, за когото никой преди това не е чувал.
Атакуващият е могъл да организира изпълнението на произволен код на сървърите, използващи проблемната версия Strong_password. В момента на откритие, на Pastebin е зареждан скрипт за организиране на изпълнение на всякакъв код, предаден от клиента чрез Cookie «__id» и кодирано чрез метода Base64. Вредоносният код също изпраща параметри на хоста, на който е инсталиран вредоносният вариант на Strong_password, на контролиран от злонамерения потребител сървър.
Източник: opennet.ru
