{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Sicherheitsl\u00fccke in RubyGems.org erm\u00f6glicht den Austausch fremder Pakete","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In dem Paket-Repository RubyGems.org wurde eine kritische Sicherheitsl\u00fccke (CVE-2022-29176) entdeckt, die es ohne die erforderlichen Berechtigungen erm\u00f6glicht, einige fremde Pakete im Repository durch das Initiieren einer R\u00fccknahme (yank) eines legitimen Pakets zu ersetzen und stattdessen eine andere Datei mit demselben Namen und Versionsnummer hochzuladen. <\/p>\n
F\u00fcr die erfolgreiche Ausnutzung der Sicherheitsl\u00fccke m\u00fcssen drei Bedingungen erf\u00fcllt sein: <\/p>\n
\n
Der Angriff kann nur auf Pakete durchgef\u00fchrt werden, deren Name ein Bindestrich enth\u00e4lt.\n
Der Angreifer muss in der Lage sein, ein Gem-Paket mit einem Teil des Namens bis zum Bindestrich zu platzieren. Wenn die Attacke beispielsweise auf das Paket \u201erails-html-sanitizer\u201c gerichtet ist, muss der Angreifer sein eigenes Paket \u201erails-html\u201c im Repository platzieren.\n
Das Zielpaket, das angegriffen wird, muss innerhalb der letzten 30 Tage erstellt worden sein oder darf in den letzten 100 Tagen nicht aktualisiert worden sein. <\/ul>\n
Die Verwundbarkeit entsteht durch einen Fehler im Aktionshandler \u201eyank\u201c, der den Teil des Namens nach dem Bindestrich als Plattformnamen interpretiert. Dies erm\u00f6glichte das L\u00f6schen fremder Pakete, die im Teil des Namens bis zum Bindestrich \u00fcbereinstimmten. Insbesondere wurde im Code des Handlers f\u00fcr die \u201eyank\u201c-Operation der Aufruf 'find_by!(full_name: \u201e#{rubygem.name}-#{slug}\u201c)\u2018 verwendet, wobei der Parameter \u201eslug\u201c vom Paketinhaber zur Bestimmung der zu l\u00f6schenden Version \u00fcbergeben wurde. Der Inhaber des Pakets \u201erails-html\u201c h\u00e4tte anstelle von Version \u201e1.2.3\u201c \u201esanitizer-1.2.3\u201c angeben k\u00f6nnen, was dazu gef\u00fchrt h\u00e4tte, dass die Operation auf das fremde Paket \u201erails-html-sanitizer-1.2.3\u201c angewendet wird. <\/p>\n
Das Problem wurde von einem Sicherheitsforscher im Rahmen des aktuellen HackerOne-Belohnungsprogramms zur Identifizierung von Sicherheitsproblemen in bekannten Open-Source-Projekten entdeckt. Das Problem wurde am 5. Mai in RubyGems.org behoben, und den Angaben der Entwickler zufolge wurden in den letzten 18 Monaten keine Anzeichen f\u00fcr eine Ausnutzung der Schwachstelle in den Protokollen gefunden. Bei der \u00dcberpr\u00fcfung wurde bisher nur eine oberfl\u00e4chliche Pr\u00fcfung durchgef\u00fchrt, und es ist geplant, eine tiefere \u00dcberpr\u00fcfung durchzuf\u00fchren. <\/p>\n
Um Ihre Projekte zu \u00fcberpr\u00fcfen, empfiehlt es sich, die Historie der Operationen in der Datei Gemfile.lock zu analysieren. Schadhafte Aktivit\u00e4ten \u00e4u\u00dfern sich durch \u00c4nderungen, die den Namen und die Version beibehalten oder die Plattform wechseln (zum Beispiel, wenn das Paket gemname-1.2.3 auf gemname-1.2.3-java aktualisiert wird). Als Umgehungsma\u00dfnahme zum Schutz vor versteckten Paket\u00e4nderungen in Continuous-Integration-Systemen oder bei der Ver\u00f6ffentlichung von Projekten wird Entwicklern empfohlen, Bundler mit den Optionen \u2014frozen oder \u2014deployment zu verwenden, um die Abh\u00e4ngigkeiten zu fixieren. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"