Projektet Arch Linux har midlertidigt stoppet registreringen af nye brugerkonti i AUR (Arch User Repository) på grund af vedvarende aktivitet relateret til indsprøjtning af ondsindet kode i pakker og hærværk med fornærmelser på russisk. Efter det første store angreb forsøgte udviklerne af Arch Linux at beskytte sig mod problemet gennem selektive filtre, men angriberne omgåede dem ved at erstatte npm med bun og obfuskerede kaldet til deres kode i funktionen post_install. Muligheden for registrering vil blive genoptaget efter implementeringen af en mere effektiv beskyttelse.
Angriberne udnyttede muligheden for at tage sig af pakker i AUR, som ikke havde nogen vedligeholdere og havde status som "orphaned". Denne mulighed blev givet uden begrænsninger eller kontrol til enhver, der ønskede det. I øjeblikket er der 107406 pakker i AUR, hvoraf 13050 har status som "orphaned" (sidste uge var det 15261). I den seneste uge er 5578 pakker blevet opdateret i arkivet, mens der i ugen før blev opdateret 3446. Der er 141967 registrerede brugere i arkivet og 69 vedligeholdere af pakkerne (sidste uge var der 140949 brugere og 69 vedligeholdere).
Kilde: opennet.ru
