{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"S\u00e5rbarhed i RubyGems.org, der tillader substitution af andres pakker","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I RubyGems.org-pakkeopbevaringen er der blevet identificeret en kritisk s\u00e5rbarhed (CVE-2022-29176), der uden de n\u00f8dvendige bef\u00f8jelser tillader substitution af visse andres pakker i opbevaringen ved at igangs\u00e6tte et tilbagetr\u00e6k (yank) af en legitim pakke og uploade en anden fil med samme navn og versionsnummer. <\/p>\n
For at udnytte s\u00e5rbarheden kr\u00e6ves tre betingelser: <\/p>\n
\n
Angrebet kan kun udf\u00f8res p\u00e5 pakker, hvis navn indeholder bindestreg.\n
Den angriber skal have mulighed for at placere et gem-pakke med en del af navnet f\u00f8r bindestregen. For eksempel, hvis angrebet er rettet mod pakken \u00abrails-html-sanitizer\u00bb, skal angriberen placere sin egen pakke \u00abrails-html\u00bb i repositoryet.\n
Den pakke, der bliver angrebet, skal v\u00e6re oprettet inden for de sidste 30 dage, eller ikke v\u00e6re blevet opdateret i 100 dage. <\/ul>\n
S\u00e5rbarheden skyldes en fejl i h\u00e5ndteringen af handlingen \u00abyank\u00bb, der fortolkede delen af navnet efter bindestregen som platformnavn, hvilket gjorde det muligt at indlede sletning af andres pakker, der stemte overens med den del af navnet f\u00f8r bindestregen. Specifikt blev der i koden til operationen \u00abyank\u00bb brugt kaldet \u2018find_by!(full_name: \u00ab#{rubygem.name}-#{slug}\u00bb)\u2019, hvor parameteren \u00abslug\u00bb blev sendt af pakkeejeren for at bestemme den version, der skulle slettes. Ejeren af pakken \u00abrails-html\u00bb kunne i stedet for version \u00ab1.2.3\u00bb angive \u00absanitizer-1.2.3\u00bb, hvilket ville f\u00f8re til, at operationen blev anvendt p\u00e5 den fremmede pakke \u00abrails-html-sanitizer-1.2.3\u00bb. <\/p>\n
Problemet blev identificeret af en sikkerhedsforsker som en del af det eksisterende program p\u00e5 HackerOne, der bel\u00f8nner for at finde sikkerhedsproblemer i kendte open source-projekter. Problemet blev l\u00f8st i RubyGems.org den 5. maj, og if\u00f8lge udviklerne er der ikke fundet tegn p\u00e5 udnyttelse af s\u00e5rbarheden i loggene i de sidste 18 m\u00e5neder. Der er imidlertid kun blevet gennemf\u00f8rt en overfladisk audit, og der planl\u00e6gges en mere grundig kontrol i fremtiden. <\/p>\n
For at kontrollere deres projekter anbefales det at analysere historikken for operationer i filen Gemfile.lock, hvor skadelig aktivitet viser sig ved tilstedev\u00e6relsen af \u00e6ndringer med bevarelsen af navn og version eller \u00e6ndringen af platform (for eksempel n\u00e5r pakken gemname-1.2.3 er opdateret til gemname-1.2.3-java). Som en workaround til beskyttelse mod skjult substitution af pakker i systemer til kontinuerlig integration eller ved offentligg\u00f8relse af projekter anbefales det til udviklerne at bruge Bundler med indstillingerne \u00ab--frozen\u00bb eller \u00ab--deployment\u00bb for at l\u00e5se afh\u00e6ngigheder. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"