{"id":105391,"date":"2022-10-27T15:37:07","date_gmt":"2022-10-27T13:37:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/eksperiment-po-polucheniyu-kontrolya-nad-paketami-v-repozitorii-aur"},"modified":"2026-02-04T17:53:52","modified_gmt":"2026-02-04T15:53:52","slug":"eksperiment-po-polucheniyu-kontrolya-nad-paketami-v-repozitorii-aur","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/eksperiment-po-polucheniyu-kontrolya-nad-paketami-v-repozitorii-aur","title":{"rendered":"Eksperiment til at f\u00e5 kontrol over pakker i AUR-repositoriet","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Resultaterne af eksperimentet om kontrol med pakker i AUR (Arch User Repository), som anvendes til distribution af pakker af tredjepartsudviklere uden at inkludere dem i de prim\u00e6re arkiver i Arch Linux-distributionen, er offentliggjort. Forskerne forberedte et script, der kontrollerer udl\u00f8bet af dom\u00e6nenavne, der indg\u00e5r i PKGBUILD- og SRCINFO-filer. Under k\u00f8rsel af dette script blev 14 udl\u00f8bne dom\u00e6ner identificeret, der bruges i 20 pakker til at hente filer. <\/p>\n

Simpel dom\u00e6neregistrering<\/a> ikke tilstr\u00e6kkeligt til at omg\u00e5 pakken, da det indhold, der bliver downloadet, kontrolleres imod den kontrolsum, der allerede er indl\u00e6st i AUR. Det viste sig dog, at omkring 35% af pakkerne i AUR bruger parameteren «SKIP» i PKGBUILD-filen for at springe kontrolsummen over (for eksempel angiver de sha256sums=(‘SKIP’)). Af 20 pakker med udl\u00f8bne dom\u00e6ner blev parameteren SKIP brugt i 4. <\/p>\n

For at demonstrere muligheden for at udf\u00f8re et angreb k\u00f8bte forskerne et dom\u00e6ne fra en af pakkerne, der ikke kontrollerede kontrolsummen, og hostede et arkiv med koden og det \u00e6ndrede installationsscript. I stedet for det faktiske indhold blev der tilf\u00f8jet en besked i scriptet, der advarede om udf\u00f8relsen af tredjeparts kode. Fors\u00f8get p\u00e5 at installere pakken f\u00f8rte til download af \u00e6ndrede filer, og da kontrolsummen ikke blev kontrolleret, blev den tilf\u00f8jede kodes installation og k\u00f8rsel vellykket. <\/p>\n

Pakker, hvis dom\u00e6ner med kode viste sig at v\u00e6re udl\u00f8bne: <\/p>\n