{"id":37310,"date":"2019-10-31T22:16:54","date_gmt":"2019-10-31T19:16:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod\/"},"modified":"2019-10-31T22:16:54","modified_gmt":"2019-10-31T19:16:54","slug":"v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","title":{"rendered":"In rest-client und weiteren 10 Ruby-Paketen wurde schadhafter Code festgestellt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im beliebten Gem-Paket rest-client<\/a><\/noindex>, das insgesamt 113 Millionen Downloads z\u00e4hlt, entdeckt<\/a><\/noindex> eine Einf\u00fcgung von b\u00f6sartigem Code (CVE-2019-15224), der ausf\u00fchrbare Befehle l\u00e4dt und Informationen an einen externen Host sendet. Der Angriff erfolgte durch Kompromittierung<\/a><\/noindex> des Entwicklerkontos von rest-client im Repository rubygems.org, woraufhin die Angreifer am 13. und 14. August die Versionen 1.6.10-1.6.13 ver\u00f6ffentlichten, die b\u00f6sartige \u00c4nderungen enthielten. Vor der Blockierung der sch\u00e4dlichen Versionen wurden sie von etwa tausend Nutzern heruntergeladen (die Angreifer ver\u00f6ffentlichten Updates \u00e4lterer Versionen, um keine Aufmerksamkeit zu erregen).<\/p>\n

Schadhafte \u00c4nderung \u00fcberschreibt die Methode \u201e#authenticate\u201c in der Klasse
\nIdentity, sodass jeder Aufruf dieser Methode dazu f\u00fchrt, dass die bei der Authentifizierung \u00fcbermittelte E-Mail-Adresse und das Passwort an die Server der Angreifer gesendet werden. Auf diese Weise werden die Zugangsdaten der Benutzer der Dienste abgefangen, die die Klasse Identity verwenden und eine verwundbare Version der Bibliothek rest-client installiert haben, die als Abh\u00e4ngigkeit<\/a><\/noindex> in vielen beliebten Ruby-Paketen aufgef\u00fchrt ist, darunter ast (64 Millionen Downloads), oauth (32 Millionen), fastlane (18 Millionen) und kubeclient (3,7 Millionen).<\/p>\n

Dar\u00fcber hinaus wurde ein Hintert\u00fcrchen in den Code eingef\u00fcgt, das die Ausf\u00fchrung beliebigen Ruby-Codes \u00fcber die Funktion eval erm\u00f6glicht. Der Code wird \u00fcber Cookies \u00fcbermittelt, die mit dem Schl\u00fcssel des Angreifers signiert sind. Um die Angreifer \u00fcber die Installation des b\u00f6sartigen Pakets auf einen externen Host zu informieren, wird die URL des Systems des Opfers zusammen mit einer Auswahl an Umgebungsinformationen, wie gespeicherten Passw\u00f6rtern f\u00fcr Datenbanken und Cloud-Dienste, gesendet. Mit dem oben erw\u00e4hnten b\u00f6sartigen Code wurden Versuche zur Bereitstellung von Skripten zum Mining von Kryptow\u00e4hrungen dokumentiert.<\/p>\n

Nach der Untersuchung des b\u00f6sartigen Codes wurde entdeckt<\/a><\/noindex>, dass \u00e4hnliche \u00c4nderungen auch in 10 Paketen<\/a><\/noindex> in Ruby Gems vorhanden sind, die nicht erfasst wurden, sondern absichtlich von Angreifern basierend auf anderen beliebten Bibliotheken mit \u00e4hnlichen Namen vorbereitet wurden, bei denen der Bindestrich durch einen Unterstrich ersetzt oder umgekehrt (zum Beispiel basierend auf cron-parser<\/a><\/noindex> wurde das b\u00f6sartige Paket cron_parser erstellt, und basierend auf doge_coin<\/a><\/noindex> das b\u00f6sartige Paket doge-coin). Problematische Pakete:<\/p>\n