Открит е злонамерен пакет rustdecimal в хранилището на Rust crates.io

Разработчиците на езика Rust предупредиха, че в хранилището crates.io е идентифициран пакет rustdecimal, съдържащ зловреден код. Пакетът се основава на легитимния пакет rust_decimal и се разпространява с помощта на сходство в името (typesquatting) с очакването, че потребителят няма да забележи липсата на долна черта, когато търси или избира модул от списък.

Трябва да се отбележи, че тази стратегия се оказа успешна и по отношение на броя на изтеглянията, фиктивният пакет беше само малко зад оригинала (~111 хиляди изтегляния на rustdecimal 1.23.1 и 113 хиляди на оригиналния rust_decimal 1.23.1) . В същото време по-голямата част от изтеглянията бяха на безвреден клонинг, който не съдържа злонамерен код. Злонамерените промени бяха добавени на 25 март във версия rustdecimal 1.23.5, която беше изтеглена около 500 пъти, преди проблемът да бъде идентифициран и пакетът да бъде блокиран (предполага се, че повечето изтегляния на злонамерената версия са направени от ботове) и не е бил използван като зависимости от други пакети, присъстващи в хранилището (възможно е злонамереният пакет да е бил зависимост от крайните приложения).

Злонамерените промени се състоят в добавяне на нова функция, Decimal::new, чиято реализация съдържаше обфусциран код за изтегляне от външен сървър и стартиране на изпълним файл. При извикване на функцията се проверява променливата на средата GITLAB_CI и ако е зададена, файлът /tmp/git-updater.bin се изтегля от външния сървър. Злонамереният манипулатор за изтегляне поддържаше работа на Linux и macOS (платформата Windows не се поддържаше).

Предполагаше се, че злонамерената функция ще бъде изпълнена по време на тестване на системи за непрекъсната интеграция. След като блокираха rustdecimal, администраторите на crates.io анализираха съдържанието на хранилището за подобни злонамерени вмъквания, но не идентифицираха проблеми в други пакети. Собствениците на системи за непрекъсната интеграция, базирани на платформата GitLab, се съветват да гарантират, че проектите, тествани на техните сървъри, не използват пакета rustdecimal в техните зависимости.

Източник: opennet.ru