В rest-client и още 10 Ruby пакета е открит зловреден код

В популярния gem пакет rest-client, с общо 113 милиона изтегляния, открита е инжектиране на зловреден код (CVE-2019-15224), който зарежда изпълними команди и изпраща информация на външен хост. Атаката беше извършена чрез компрометиране на акаунта на разработчика на rest-client в хранилището rubygems.org, след което злонамерените лица публикуваха версиите 1.6.10-1.6.13 на 13 и 14 август, които съдържат зловредни промени. Преди блокирането на зловредните версии, около хиляда потребители успяха да ги изтеглят (нападателите, за да не привлекат внимание, публикуваха актуализации на стари версии).

Зловредната промяна преопределя метода '#authenticate' в класа
Identity, след което всяко извикване на метода води до изпращане на предоставения email и парола по време на опит за аутентификация на хоста на нападателите. Така се извършва прихващане на входните параметри на потребителите на услуги, използващи класа Identity и инсталирали уязвима версия на библиотеката rest-client, която съществува като зависимост в много популярни Ruby пакети, включително ast (64 млн. изтегляния), oauth (32 млн.), fastlane (18 млн.) и kubeclient (3.7 млн.).

Освен това, в кода е добавен бекдор, позволяващ изпълнението на произволен Ruby код чрез функцията eval. Кодът се предава чрез Cookie, подписан с ключа на атакуващия. За информиране на злонамерените лица за инсталирането на злонамерен пакет на външен хост се изпраща URL адрес на системата на жертвата и набор от сведения за околната среда, като запазени пароли за СУБД и облачни услуги. С използването на гореспоменатия злонамерен код са регистрирани опити за качване на скриптове за копаене на криптовалута.

След проучването на злонамерения код беше разкрито, че аналогични промени присъстват още в 10 пакета в Ruby Gems, които не са били хванати, а специално подготвени от злонамерени лица на базата на други популярни библиотеки с подобни имена, в които тирето е заменено с долна черта или обратно (например, на базата на cron-parser е създаден злонамерен пакет cron_parser, а на базата на doge_coin злонамереният пакет doge-coin). Проблемни пакети:

• coin_base: 4.2.2, 4.2.1
• blockchain_wallet: 0.0.6, 0.0.7
• awesome-bot: 1.18.0
• doge-coin: 1.0.2
• capistrano-colors: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• coming-soon: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

Първият вредоносен пакет от този списък беше разположен на 12 май, но голямата част се появи през юли. Общо споменатите пакети бяха изтеглени около 2500 пъти.

Източник: opennet.ru