AUR সংগ্রহস্থলে প্যাকেজগুলির নিয়ন্ত্রণ পেতে পরীক্ষা করুন৷

Опубликованы результаты эксперимента по захвату контроля над пакетами в репозитории AUR (Arch User Repository), применяемом для распространения сторонними разработчиками своих пакетов без включения в основные репозитории дистрибутива Arch Linux. Исследователи подготовили скрипт, проверяющий истечение регистрации доменов, фигурирующих в файлах PKGBUILD и SRCINFO. В ходе запуска данного скрипта было выявлено 14 просроченных домена, используемых в 20 пакетах для загрузки файлов.

সহজ ডোমেইন নিবন্ধন প্যাকেজ স্পুফিংয়ের জন্য এটি যথেষ্ট নয়, কারণ ডাউনলোড করা সামগ্রী AUR-এ ইতিমধ্যেই আপলোড করা চেকসামের সাথে যাচাই করা হয়। তবে, দেখা গেছে যে AUR-এর প্রায় 35% প্যাকেজের রক্ষণাবেক্ষণকারীরা চেকসাম যাচাইকরণকে বাইপাস করার জন্য PKGBUILD ফাইলে "SKIP" প্যারামিটার ব্যবহার করে (উদাহরণস্বরূপ, sha256sums=('SKIP') নির্দিষ্ট করে)। মেয়াদোত্তীর্ণ ডোমেন সহ 20টি প্যাকেজের মধ্যে, 4টিতে SKIP প্যারামিটার ব্যবহার করা হয়েছিল।

আক্রমণ চালানোর সম্ভাবনা প্রদর্শনের জন্য, গবেষকরা প্যাকেজগুলির একটির ডোমেন কিনেছিলেন যা চেকসামগুলি পরীক্ষা করে না এবং কোড সহ একটি সংরক্ষণাগার এবং এটিতে একটি পরিবর্তিত ইনস্টলেশন স্ক্রিপ্ট স্থাপন করেছিল৷ প্রকৃত বিষয়বস্তুর পরিবর্তে, স্ক্রিপ্টে তৃতীয় পক্ষের কোড কার্যকর করার বিষয়ে একটি সতর্কতা বার্তা যোগ করা হয়েছে। প্যাকেজটি ইনস্টল করার প্রচেষ্টার ফলে প্রতিস্থাপিত ফাইল ডাউনলোড করা হয়েছে এবং যেহেতু চেকসাম চেক করা হয়নি, পরীক্ষাকারীদের দ্বারা যোগ করা কোডের সফল ইনস্টলেশন ও লঞ্চের দিকে।

যে প্যাকেজগুলির কোড সহ ডোমেনের মেয়াদ শেষ হয়ে গেছে:

• ফায়ারফক্স-ভ্যাকুয়াম
• gvim-চেকপথ
• wine-pixi2
• xcursor-theme-wii
• লাইটজোন-মুক্ত
• scalafmt-নেটিভ
• coolq-pro-bin
• gmedit-bin
• মেসেন-এস-বিন
• পলি-বি-গেল
• erwiz
• totd
• kygekteampmmp4
• servicewall-git
• amuletml-bin
• ইথারডাম্প
• ন্যাপ-বিন
• iscfpc
• iscfpc-aarch64
• iscfpcx

উত্স: opennet.ru