Im Rust-Repository crates.io wurde ein bösartiges Paket rustdecimal entdeckt.

Die Entwickler der Sprache Rust haben vor der Entdeckung eines Pakets rustdecimal im Repository crates.io gewarnt, das bösartigen Code enthält. Das Paket basierte auf dem legitimen Paket rust_decimal und nutzte den ähnlichen Namen (Typ-Squatting), in der Annahme, dass die Benutzer die fehlende Unterstrich nicht bemerken würden, während sie nach dem Modul suchten oder es aus der Liste auswählten.

Bemerkenswert ist, dass die genannte Strategie erfolgreich war und die Anzahl der Downloads des gefälschten Pakets nur geringfügig hinter dem Original zurückblieb (~111.000 Downloads von rustdecimal 1.23.1 und 113.000 vom originalen rust_decimal 1.23.1). Dabei entfiel die Mehrheit der Downloads auf den harmlosen Klon, der keinen bösartigen Code enthielt. Bösartige Änderungen wurden am 25. März in der Version rustdecimal 1.23.5 hinzugefügt, die vor der Entdeckung des Problems und der Sperrung des Pakets etwa 500 Mal heruntergeladen wurde (es wird angenommen, dass der größte Teil der Downloads der bösartigen Version von Bots vorgenommen wurde) und nicht in den Abhängigkeiten anderer im Repository vorhandener Pakete verwendet wurde (nicht ausgeschlossen, dass das bösartige Paket in den Abhängigkeiten von Endanwendungen war).

Die bösartigen Änderungen bestanden in der Hinzufügung einer neuen Funktion Decimal::new, in deren Implementierung obfuszierter Code zum Herunterladen von externen Server und Ausführen einer ausführbaren Datei enthalten war. Bei dem Aufruf der Funktion wurde die Umgebungsvariable GITLAB_CI überprüft; wenn diese gesetzt war, wurde eine Datei von einem externen Server heruntergeladen: /tmp/git-updater.bin. Der heruntergeladene bösartige Handler unterstützte den Betrieb unter Linux und macOS (Windows-Plattform wurde nicht unterstützt).

Es wurde angenommen, dass die bösartige Funktion während der Tests auf Systemen der kontinuierlichen Integration ausgeführt wird. Nach der Sperrung von rustdecimal führten die Administratoren von crates.io eine Analyse des Repository-Inhalts auf ähnliche bösartige Einfügungen durch, konnten jedoch in anderen Paketen keine Probleme feststellen. Den Besitzern von Systemen zur kontinuierlichen Integration auf der Basis der Plattform GitLab wird empfohlen, sicherzustellen, dass ihre zu testenden Servern Projekte das Paket rustdecimal in ihren Abhängigkeiten nicht verwendeten.

Quelle: opennet.ru