🥇 একটি দূষিত প্যাকেজ rustdecimal crates.io মরিচা সংগ্রহস্থলে সনাক্ত করা হয়েছে

মরিচা ভাষার বিকাশকারীরা সতর্ক করেছে যে crates.io সংগ্রহস্থলে দূষিত কোড সম্বলিত একটি রাস্টডেসিমাল প্যাকেজ সনাক্ত করা হয়েছে। প্যাকেজটি বৈধ মরিচা_ডেসিমাল প্যাকেজের উপর ভিত্তি করে এবং নামের (টাইপস্ক্যাটিং) সাদৃশ্য ব্যবহার করে বিতরণ করা হয়েছিল এই প্রত্যাশায় যে ব্যবহারকারী একটি তালিকা থেকে একটি মডিউল অনুসন্ধান বা নির্বাচন করার সময় একটি আন্ডারস্কোরের অনুপস্থিতি লক্ষ্য করবেন না।

এটি লক্ষণীয় যে এই কৌশলটি সফল হয়েছে এবং ডাউনলোডের সংখ্যার দিক থেকে, কল্পিত প্যাকেজটি আসল থেকে সামান্য পিছিয়ে ছিল (রস্টডেসিমেল 111 এর 1.23.1 হাজার ডাউনলোড এবং আসল মরিচা_ডেসিমাল 113 এর 1.23.1 হাজার) . একই সময়ে, বেশিরভাগ ডাউনলোডগুলি ক্ষতিকারক ক্লোনের ছিল যাতে দূষিত কোড ছিল না। দূষিত পরিবর্তনগুলি 25 মার্চ সংস্করণ rustdecimal 1.23.5-এ যোগ করা হয়েছিল, যা সমস্যা চিহ্নিত করার আগে প্রায় 500 বার ডাউনলোড করা হয়েছিল এবং প্যাকেজটি ব্লক করা হয়েছিল (ধারণা করা হয় যে দূষিত সংস্করণের বেশিরভাগ ডাউনলোড বট দ্বারা করা হয়েছিল) এবং রিপোজিটরিতে উপস্থিত অন্যান্য প্যাকেজগুলির উপর নির্ভরতা হিসাবে ব্যবহার করা হয়নি (এটা সম্ভব যে দূষিত প্যাকেজটি শেষ অ্যাপ্লিকেশনগুলির উপর নির্ভরতা ছিল)।

দূষিত পরিবর্তনগুলির মধ্যে একটি নতুন ফাংশন যোগ করা হয়েছে, দশমিক::নতুন, যার বাস্তবায়নে একটি বহিরাগত সার্ভার থেকে ডাউনলোড করার এবং একটি এক্সিকিউটেবল ফাইল চালু করার জন্য অস্পষ্ট কোড রয়েছে। ফাংশনটি কল করার সময়, পরিবেশ পরিবর্তনশীল GITLAB_CI চেক করা হয়েছিল, এবং যদি সেট করা থাকে, ফাইল /tmp/git-updater.bin বহিরাগত সার্ভার থেকে ডাউনলোড করা হয়েছিল। ডাউনলোডযোগ্য দূষিত হ্যান্ডলার Linux এবং macOS-এ কাজ সমর্থিত (উইন্ডোজ প্ল্যাটফর্ম সমর্থিত ছিল না)।

এটা ধরে নেওয়া হয়েছিল যে ক্রমাগত ইন্টিগ্রেশন সিস্টেমে পরীক্ষার সময় দূষিত ফাংশনটি কার্যকর করা হবে। rustdecimal ব্লক করার পরে, crates.io অ্যাডমিনিস্ট্রেটররা অনুরূপ দূষিত সন্নিবেশের জন্য সংগ্রহস্থলের বিষয়বস্তু বিশ্লেষণ করেছে, কিন্তু অন্যান্য প্যাকেজে সমস্যা চিহ্নিত করেনি। গিটল্যাব প্ল্যাটফর্মের উপর ভিত্তি করে ক্রমাগত ইন্টিগ্রেশন সিস্টেমের মালিকদের তাদের সার্ভারে পরীক্ষিত প্রকল্পগুলি তাদের নির্ভরশীলতায় রাস্টডেসিমেল প্যাকেজ ব্যবহার না করে তা নিশ্চিত করার পরামর্শ দেওয়া হয়।

উত্স: opennet.ru

রাস্ট রিপোজিটরি crates.io-তে ক্ষতিকারক প্যাকেজ rustdecimal সনাক্ত করা হয়েছে

একটি মন্তব্য জুড়ুন উত্তর বাতিল