{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Vulnerabilidad en RubyGems.org que permite reemplazar paquetes ajenos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha detectado una vulnerabilidad cr\u00edtica en el repositorio de paquetes RubyGems.org (CVE-2022-29176) que permite alterar algunos paquetes ajenos en el repositorio sin los permisos adecuados, iniciando la retirada (yank) de un paquete leg\u00edtimo y subiendo en su lugar otro archivo con el mismo nombre y n\u00famero de versi\u00f3n. <\/p>\n
Para explotar con \u00e9xito la vulnerabilidad, es necesario cumplir tres condiciones: <\/p>\n
\n
El ataque solo puede dirigirse a paquetes cuyo nombre contenga el s\u00edmbolo de guion.\n
El atacante debe tener la capacidad de colocar un paquete gem con parte del nombre hasta el s\u00edmbolo de guion. Por ejemplo, si el ataque se dirige al paquete \u00abrails-html-sanitizer\u00bb, el atacante debe colocar en el repositorio su propio paquete \u00abrails-html\u00bb.\n
El paquete que se ataca debe haber sido creado en los \u00faltimos 30 d\u00edas o no haber sido actualizado en los \u00faltimos 100 d\u00edas. <\/ul>\n
La vulnerabilidad es causada por un error en el manejador de acci\u00f3n \u00abyank\u00bb, que interpreta la parte del nombre despu\u00e9s del guion como el nombre de la plataforma, lo que permit\u00eda iniciar la eliminaci\u00f3n de paquetes ajenos que coincid\u00edan en la parte del nombre hasta el s\u00edmbolo de guion. En particular, en el c\u00f3digo del manejador de la operaci\u00f3n \u00abyank\u00bb, se utilizaba la llamada \u2018find_by!(full_name: \u00ab#{rubygem.name}-#{slug}\u00bb)\u2019, teniendo en cuenta que el par\u00e1metro \u00abslug\u00bb era proporcionado por el propietario del paquete para determinar la versi\u00f3n a ser eliminada. El propietario del paquete \u00abrails-html\u00bb podr\u00eda haber indicado \u00absanitizer-1.2.3\u00bb en lugar de la versi\u00f3n \u00ab1.2.3\u00bb, lo que llevar\u00eda a aplicar la operaci\u00f3n al paquete ajeno \u00abrails-html-sanitizer-1.2.3\u00bb. <\/p>\n
El problema fue detectado por un investigador de seguridad dentro del programa de recompensas por encontrar problemas de seguridad en proyectos de c\u00f3digo abierto conocido en HackerOne. El problema fue solucionado en RubyGems.org el 5 de mayo y, seg\u00fan los desarrolladores, no han encontrado evidencia de explotaci\u00f3n de la vulnerabilidad en los registros de los \u00faltimos 18 meses. Hasta ahora solo se ha realizado una auditor\u00eda superficial y se planea llevar a cabo una revisi\u00f3n m\u00e1s exhaustiva en el futuro. <\/p>\n
Para verificar sus proyectos, se recomienda analizar el historial de operaciones en el archivo Gemfile.lock; la actividad maliciosa se manifiesta en cambios que mantienen el nombre y la versi\u00f3n o cambian la plataforma (por ejemplo, cuando el paquete gemname-1.2.3 se actualiza a gemname-1.2.3-java). Como un m\u00e9todo alternativo de protecci\u00f3n contra la sustituci\u00f3n oculta de paquetes en sistemas de integraci\u00f3n continua o al publicar proyectos, se recomienda a los desarrolladores usar Bundler con las opciones \u00ab--frozen\u00bb o \u00ab--deployment\u00bb para fijar las dependencias. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"