Замяна на злонамерен код в пакет Ruby Открита е силна_парола

В публикувани Пускане на 25 юни на gem пакет Strong_password 0.7 идентифицирани злонамерена промяна (CVE-2019 13354-), изтегляне и изпълнение на външен код, контролиран от неизвестен нападател, хостван в услугата Pastebin. Общият брой изтегляния на проекта е 247 хиляди, а версия 0.6 е около 38 хиляди. За злонамерената версия броят на изтеглянията е посочен като 537, но не е ясно колко точно е това, като се има предвид, че тази версия вече е премахната от Ruby Gems.

Библиотеката Strong_password предоставя инструменти за проверка на силата на паролата, зададена от потребителя по време на регистрацията.
сред с помощта на пакетите Strong_password think_feel_do_engine (65 хиляди изтегляния), think_feel_do_dashboard (15 хиляди изтегляния) и
суперхостинг (1.5 хиляди). Отбелязва се, че злонамерената промяна е добавена от неизвестно лице, което е иззело контрола върху хранилището от автора.

Зловреден код е добавен само към RubyGems.org, Git хранилище проектът не беше засегнат. Проблемът беше идентифициран, след като един от разработчиците, който използва Strong_password в своите проекти, започна да разбира защо последната промяна е добавена към хранилището преди повече от 6 месеца, но се появи нова версия на RubyGems, публикувана от името на нов поддържащ, за когото никой не беше чувал преди нищо не чух.

Нападателят може да изпълни произволен код на сървъри, използвайки проблемната версия на Strong_password. Когато беше открит проблем с Pastebin, беше зареден скрипт за изпълнение на всеки код, подаден от клиента чрез бисквитка „__id“ и кодиран с помощта на метода Base64. Злонамереният код също изпраща параметри на хоста, на който е инсталиран злонамереният вариант Strong_password, до сървър, контролиран от нападателя.

Източник: opennet.ru