{"id":37310,"date":"2019-10-31T22:16:54","date_gmt":"2019-10-31T19:16:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod\/"},"modified":"2019-10-31T22:16:54","modified_gmt":"2019-10-31T19:16:54","slug":"v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","title":{"rendered":"In rest-client und weiteren 10 Ruby-Paketen wurde b\u00f6swilliger Code gefunden.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In beliebtem Gem-Paket rest-client<\/a><\/noindex>, das insgesamt 113 Millionen Downloads verzeichnet, wurde<\/a><\/noindex> wurde schadhafter Code (CVE-2019-15224) eingeschleust, der ausf\u00fchrbare Befehle l\u00e4dt und Informationen an einen externen Host sendet. Der Angriff erfolgte durch die Kompromittierung<\/a><\/noindex> des Entwicklerkontos von rest-client im Repository rubygems.org, wonach die Angreifer am 13. und 14. August die Versionen 1.6.10-1.6.13 ver\u00f6ffentlichten, die sch\u00e4dliche \u00c4nderungen enthielten. Bevor die b\u00f6sartigen Versionen blockiert werden konnten, hatten etwa tausend Benutzer sie bereits heruntergeladen (da die Angreifer zur Ablenkung Aktualisierungen alter Versionen ver\u00f6ffentlichten).<\/p>\n

Die sch\u00e4dliche \u00c4nderung \u00fcberschreibt die Methode «#authenticate» in der Klasse
\nIdentity, wodurch jeder Aufruf der Methode dazu f\u00fchrt, dass die w\u00e4hrend des Authentifizierungsversuchs \u00fcbermittelten E-Mail-Adresse und das Passwort an den Host der Angreifer gesendet werden. Auf diese Weise werden die Anmeldedaten von Benutzern von Diensten, die die Klasse Identity nutzen und eine verwundbare Version der Bibliothek rest-client installiert haben, abgefangen. ist betroffen.<\/a><\/noindex> als Abh\u00e4ngigkeit in vielen beliebten Ruby-Paketen, darunter ast (64 Millionen Downloads), oauth (32 Millionen), fastlane (18 Millionen) und kubeclient (3,7 Millionen).<\/p>\n

Dar\u00fcber hinaus wurde im Code ein Backdoor hinzugef\u00fcgt, das die Ausf\u00fchrung beliebigen Ruby-Codes \u00fcber die Funktion eval erm\u00f6glicht. Der Code wird \u00fcber Cookies \u00fcbermittelt, die mit dem Schl\u00fcssel des Angreifers signiert sind. Um die Angreifer \u00fcber die Installation des sch\u00e4dlichen Pakets auf einem externen Host zu informieren, wird die URL des Opfers und eine Zusammenstellung von Umgebungsinformationen, wie gespeicherten Passw\u00f6rtern f\u00fcr Datenbanken und Cloud-Dienste, \u00fcbertragen. Mit dem oben genannten sch\u00e4dlichen Code wurden Versuche festgestellt, Skripte zum Sch\u00fcrfen von Kryptow\u00e4hrungen zu laden.<\/p>\n

Nach der Analyse des sch\u00e4dlichen Codes wurde 35 Schwachstellen identifiziert, auf deren Grundlage mehrere Angriffsszenarien entwickelt wurden, die es erm\u00f6glichen, AES-Schl\u00fcssel aus der Enklave zu extrahieren oder die Ausf\u00fchrung eigenen Codes durch das Schaffen von Bedingungen f\u00fcr die Besch\u00e4digung des Speicherinhalts zu organisieren.<\/a><\/noindex>, dass \u00e4hnliche \u00c4nderungen auch in 10 Paketen<\/a><\/noindex> in Ruby Gems vorhanden sind, die nicht erfasst wurden, sondern speziell von Angreifern auf Basis anderer beliebter Bibliotheken mit \u00e4hnlichen Namen vorbereitet wurden, bei denen der Bindestrich durch einen Unterstrich oder umgekehrt ersetzt wurde (zum Beispiel auf Basis von cron-parser<\/a><\/noindex> wurde das sch\u00e4dliche Paket cron_parser erstellt, und auf Basis von doge_coin<\/a><\/noindex> das sch\u00e4dliche Paket doge-coin). Betroffene Pakete:<\/p>\n