Arch Linux спря регистрацията на нови потребителски профили в AUR

Проект Arch Linux спря регистрацията на нови акаунти в репозитория AUR (Arch User Repository) заради непрекъснатата активност по внедряване на злонамерен код в пакетите и вандализъм с обидни изрази на руски език. След първата масова атака разработчиците на Arch Linux се опитаха да се защитят от проблема чрез селективни филтри, но атакуващите ги заобиколиха, заменяйки npm с bun и обфускирайки извикването на своя код в функцията post_install. Възможността за регистрация ще бъде възстановена след реализирането на по-ефективна защита.

За завладяване на пакетите атакуващите използваха предоставяната в AUR възможност за поемане на управление над пакетите, останали без поддръжка и с статус «orphaned». Подобна възможност беше предоставяна без ограничения и проверки на всеки желаещ. В момента в AUR са разположени 107406 пакета, от които 13050 имат статус «orphaned» (преди седмица бяха 15261). През последната седмица в репозиторията бяха обновени 5578 пакета, а преди това — 3446. В репозиторията има 141967 регистрирани потребители и 69 поддържащи пакети (преди седмица бяха 140949 потребители и 69 поддържащи).

Източник: opennet.ru