{"id":37310,"date":"2019-10-31T22:16:54","date_gmt":"2019-10-31T19:16:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod\/"},"modified":"2019-10-31T22:16:54","modified_gmt":"2019-10-31T19:16:54","slug":"v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","title":{"rendered":"I rest-client og yderligere 10 Ruby-pakker er der opdaget skadelig kode","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

I den popul\u00e6re gem-pakke rest-client<\/a><\/noindex>, der har i alt 113 millioner downloads, opdaget<\/a><\/noindex> blev der indsat skadelig kode (CVE-2019-15224), som downloader eksekverbare kommandoer og sender information til en ekstern v\u00e6rt. Angrebet blev udf\u00f8rt gennem kompromittering<\/a><\/noindex> af udviklerens konto for rest-client i rubygems.org, hvorefter angriberne i periode 13. og 14. august offentliggjorde versioner 1.6.10-1.6.13, som indeholdt skadelige \u00e6ndringer. Inden de ondsindede versioner blev blokeret, var de blevet downloadet af omkring tusind brugere (angriberne offentliggjorde opdateringer af gamle versioner for ikke at tiltr\u00e6kke opm\u00e6rksomhed).<\/p>\n

Den ondsindede \u00e6ndring overskriver metoden \u00ab#authenticate\u00bb i klassen
\nIdentity, som derefter f\u00e5r hver opkald af metoden til at sende den e-mail og adgangskode, der blev givet ved autentificeringsfors\u00f8get, til angribernes v\u00e6rt. P\u00e5 denne m\u00e5de bliver logindata for brugere af tjenester, der bruger klassen Identity og har installeret den s\u00e5rbare version af biblioteksrest-client, der figurere<\/a><\/noindex> som afh\u00e6ngighed i mange popul\u00e6re Ruby-pakker, herunder ast (64 mio. downloads), oauth (32 mio.), fastlane (18 mio.) og kubeclient (3,7 mio.).<\/p>\n

Desuden er der blevet tilf\u00f8jet en bagd\u00f8r i koden, der muligg\u00f8r udf\u00f8relse af vilk\u00e5rlig Ruby-kode gennem funktionen eval. Koden sendes via Cookie, der er signeret med angriberens n\u00f8gle. For at informere angriberne om installationen af den skadelige pakke sendes URL'en til offrets system og en samling oplysninger om milj\u00f8et, s\u00e5som gemte adgangskoder til databaser og cloudtjenester. Der er blevet registreret fors\u00f8g p\u00e5 at downloade scripts til minedrift af kryptovaluta ved brug af den f\u00f8rn\u00e6vnte skadelige kode.<\/p>\n

Efter unders\u00f8gelsen af den skadelige kode blev det opdaget<\/a><\/noindex>, at lignende \u00e6ndringer ogs\u00e5 findes i 10 pakker<\/a><\/noindex> i Ruby Gems, som ikke blev overtaget, men som blev specielt forberedt af angriberne baseret p\u00e5 andre popul\u00e6re biblioteker med lignende navne, hvor bindestregen blev \u00e6ndret til en understregning eller omvendt (for eksempel, baseret p\u00e5 cron-parser<\/a><\/noindex> blev der oprettet en skadelig pakke cron_parser, og baseret p\u00e5 doge_coin<\/a><\/noindex> blev den skadelige pakke doge-coin). Problempakker:<\/p>\n