Открит е зловреден код в rest-client и 10 други Ruby пакета

В популярна опаковка със скъпоценни камъни почивка-клиент, с общо 113 милиона изтегляния, идентифицирани Подмяна на злонамерен код (CVE-2019-15224), който изтегля изпълними команди и изпраща информация до външен хост. Нападението е извършено през компромис developer account rest-client в хранилището rubygems.org, след което нападателите публикуваха версии 13-14 на 1.6.10 и 1.6.13 август, които включват злонамерени промени. Преди да бъдат блокирани злонамерените версии, около хиляда потребители успяха да ги изтеглят (нападателите пуснаха актуализации на по-стари версии, за да не привличат внимание).

Злонамерената промяна отменя метода "#authenticate" в класа
Самоличност, след което всяко извикване на метод води до имейл и парола, изпратени по време на опита за удостоверяване, които се изпращат до хоста на атакуващия. По този начин се прихващат параметрите за влизане на потребители на услугата, използващи класа Identity и инсталиращи уязвима версия на библиотеката за останалите клиенти, което черта като зависимост в много популярни Ruby пакети, включително ast (64 милиона изтегляния), oauth (32 милиона), fastlane (18 милиона) и kubeclient (3.7 милиона).

Освен това към кода е добавена задна вратичка, позволяваща произволен Ruby код да бъде изпълнен чрез функцията eval. Кодът се предава чрез бисквитка, сертифицирана от ключа на атакуващия. За да информират нападателите за инсталирането на злонамерен пакет на външен хост, се изпраща URL адресът на системата на жертвата и селекция от информация за средата, като запазени пароли за СУБД и облачни услуги. Бяха записани опити за изтегляне на скриптове за копаене на криптовалута с помощта на гореспоменатия зловреден код.

След проучване на злонамерения код беше идентифициранив които има подобни промени 10 опаковки в Ruby Gems, които не са били уловени, а са били специално подготвени от нападатели въз основа на други популярни библиотеки с подобни имена, в които тирето е заменено с долна черта или обратно (например въз основа на cron-парсер е създаден злонамерен пакет cron_parser и въз основа на него doge_coin злонамерен пакет doge-coin). Проблемни пакети:

• coin_base: 4.2.2, 4.2.1
• blockchain_wallet: 0.0.6, 0.0.7
• страхотен-бот: 1.18.0
• додж-монета: 1.0.2
• capistrano-цветове: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• Очаквайте скоро: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

Първият злонамерен пакет от този списък беше публикуван на 12 май, но повечето от тях се появиха през юли. Общо тези пакети са изтеглени около 2500 пъти.

Източник: opennet.ru