রুবি প্যাকেজে দূষিত কোডের প্রতিস্থাপন Strong_password সনাক্ত করা হয়েছে

В প্রকাশিত 25 জুন মণি প্যাকেজ Strong_password 0.7 রিলিজ চিহ্নিত দূষিত পরিবর্তন (জন্য CVE-2019-13354), Pastebin পরিষেবাতে হোস্ট করা একজন অজানা আক্রমণকারী দ্বারা নিয়ন্ত্রিত বাহ্যিক কোড ডাউনলোড এবং কার্যকর করা। প্রকল্পের মোট ডাউনলোডের সংখ্যা 247 হাজার, এবং সংস্করণ 0.6 প্রায় 38 হাজার। দূষিত সংস্করণের জন্য, ডাউনলোডের সংখ্যা 537 হিসাবে তালিকাভুক্ত করা হয়েছে, তবে এটি কতটা সঠিক তা স্পষ্ট নয়, কারণ এই প্রকাশটি ইতিমধ্যেই রুবি জেমস থেকে সরানো হয়েছে।

Strong_password লাইব্রেরি রেজিস্ট্রেশনের সময় ব্যবহারকারীর দ্বারা নির্দিষ্ট পাসওয়ার্ডের শক্তি পরীক্ষা করার জন্য সরঞ্জাম সরবরাহ করে।
মধ্যে Strong_password প্যাকেজ ব্যবহার করে চিন্তা_ফিল_ডো_ইঞ্জিন (৬৫ হাজার ডাউনলোড), থিঙ্ক_ফিল_ডো_ড্যাশবোর্ড (১৫ হাজার ডাউনলোড) এবং
সুপারহোস্টিং (1.5 হাজার)। এটি উল্লেখ্য যে দূষিত পরিবর্তনটি একজন অজানা ব্যক্তি দ্বারা যুক্ত করা হয়েছিল যিনি লেখকের কাছ থেকে সংগ্রহস্থলের নিয়ন্ত্রণ দখল করেছিলেন।

দূষিত কোড শুধুমাত্র RubyGems.org এ যোগ করা হয়েছে, গিট সংগ্রহস্থল প্রকল্প প্রভাবিত হয়নি। একজন ডেভেলপার, যিনি তার প্রজেক্টে Strong_password ব্যবহার করেন, 6 মাসেরও বেশি আগে রিপোজিটরিতে শেষ পরিবর্তনটি কেন যোগ করা হয়েছিল তা বের করা শুরু করার পরে সমস্যাটি চিহ্নিত করা হয়েছিল, কিন্তু RubyGems-এ একটি নতুন রিলিজ প্রকাশিত হয়েছে, যা একটি নতুন সংস্থার পক্ষ থেকে প্রকাশিত হয়েছে। রক্ষণাবেক্ষণকারী, যার সম্পর্কে আগে কেউ শুনেনি আমি কিছুই শুনিনি।

আক্রমণকারী Strong_password এর সমস্যাযুক্ত সংস্করণ ব্যবহার করে সার্ভারে নির্বিচারে কোড চালাতে পারে। যখন Pastebin-এর সাথে একটি সমস্যা শনাক্ত করা হয়েছিল, তখন কুকি "__id" এর মাধ্যমে ক্লায়েন্ট দ্বারা পাস করা যেকোনো কোড চালানোর জন্য একটি স্ক্রিপ্ট লোড করা হয়েছিল এবং Base64 পদ্ধতি ব্যবহার করে এনকোড করা হয়েছিল। দূষিত কোডটি হোস্টের প্যারামিটারগুলিও পাঠিয়েছে যেখানে আক্রমণকারী দ্বারা নিয়ন্ত্রিত একটি সার্ভারে ক্ষতিকারক Strong_password ভেরিয়েন্ট ইনস্টল করা হয়েছিল৷

উত্স: opennet.ru