Im 25. Juni Ausgabe des Gem-Pakets Strong_password 0.7 schĂ€dliche Ănderung (), die schĂ€dlichen, unbekannten Code von einem Pastebin-Dienst herunterlĂ€dt und ausfĂŒhrt. Die Gesamtanzahl der Downloads des Projekts betrĂ€gt 247.000, wĂ€hrend die Version 0.6 etwa 38.000 Downloads verzeichnet. FĂŒr die schĂ€dliche Version sind 537 Downloads angegeben, es ist jedoch unklar, wie viel davon tatsĂ€chlich zutrifft, da diese Version bereits von Ruby Gems entfernt wurde.
Die Bibliothek Strong_password bietet Mittel zur ĂberprĂŒfung der Passwortsicherheit, die der Benutzer bei der Registrierung angibt.
die Strong_password-Pakete think_feel_do_engine (65.000 Downloads), think_feel_do_dashboard (15.000 Downloads) und
superhosting (1,5 Tausend). Es wird festgestellt, dass die schĂ€dliche Ănderung von einem Unbekannten hinzugefĂŒgt wurde, der die Kontrolle ĂŒber das Repository des Autors ĂŒbernommen hat.
Der schĂ€dliche Code wurde nur auf RubyGems.org hinzugefĂŒgt, das Projekt wurde nicht beeintrĂ€chtigt. Das Problem wurde festgestellt, nachdem einer der Entwickler, der Strong_password in seinen Projekten verwendet, begann zu untersuchen, warum das letzte Update im Repository vor ĂŒber 6 Monaten hinzugefĂŒgt wurde, wĂ€hrend auf RubyGems eine neue Version veröffentlicht wurde, die im Namen eines neuen Maintainers veröffentlicht wurde, von dem vorher niemand etwas gehört hatte.
Der Angreifer konnte die AusfĂŒhrung beliebigen Codes auf Servern, die die problematische Version von Strong_password verwenden, organisieren. Zum Zeitpunkt der Entdeckung des Problems wurde ein Skript von Pastebin heruntergeladen, um beliebigen Code auszufĂŒhren, der vom Client ĂŒber das Cookie â__idâ ĂŒbermittelt und mit der Methode Base64 kodiert wurde. Der schĂ€dliche Code hat auch die Parameter des Hosts, auf dem die schĂ€dliche Version von Strong_password installiert ist, an einen Server gesendet, der vom Angreifer kontrolliert wird.
Quelle: opennet.ru
