{"id":37310,"date":"2019-10-31T22:16:54","date_gmt":"2019-10-31T19:16:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod\/"},"modified":"2019-10-31T22:16:54","modified_gmt":"2019-10-31T19:16:54","slug":"v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","title":{"rendered":"Se ha encontrado c\u00f3digo malicioso en rest-client y otros 10 paquetes de Ruby","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En el popular paquete gem rest-client<\/a><\/noindex>, que ha acumulado un total de 113 millones de descargas, se ha detectado<\/a><\/noindex> la inserci\u00f3n de c\u00f3digo malicioso (CVE-2019-15224), que carga comandos ejecutables y env\u00eda informaci\u00f3n a un host externo. El ataque se llev\u00f3 a cabo a trav\u00e9s de la compromisi\u00f3n<\/a><\/noindex> de la cuenta del desarrollador de rest-client en el repositorio rubygems.org, tras lo cual los atacantes publicaron las versiones 1.6.10-1.6.13 el 13 y 14 de agosto, que inclu\u00edan cambios maliciosos. Antes de que se bloquearan las versiones maliciosas, aproximadamente mil usuarios las hab\u00edan descargado (los atacantes publicaron actualizaciones de versiones antiguas para no atraer atenci\u00f3n).<\/p>\n

La modificaci\u00f3n maliciosa anula el m\u00e9todo \u00ab#authenticate\u00bb en la clase
\nIdentity, haciendo que cada llamada al m\u00e9todo env\u00ede el correo electr\u00f3nico y la contrase\u00f1a proporcionados durante el intento de autenticaci\u00f3n al host de los atacantes. As\u00ed se interceptan los par\u00e1metros de entrada de los usuarios de los servicios que utilizan la clase Identity y han instalado la versi\u00f3n vulnerable de la biblioteca rest-client, que aparece<\/a><\/noindex> como una dependencia en muchos paquetes populares de Ruby, incluidos ast (64 millones de descargas), oauth (32 millones), fastlane (18 millones) y kubeclient (3.7 millones).<\/p>\n

Adem\u00e1s, se ha a\u00f1adido una puerta trasera al c\u00f3digo, permitiendo ejecutar c\u00f3digo Ruby arbitrario a trav\u00e9s de la funci\u00f3n eval. El c\u00f3digo se env\u00eda a trav\u00e9s de una Cookie, firmada con la clave del atacante. Para informar a los atacantes sobre la instalaci\u00f3n del paquete malicioso en el host externo, se env\u00eda la URL del sistema de la v\u00edctima y un conjunto de informaci\u00f3n sobre el entorno, como contrase\u00f1as almacenadas para bases de datos y servicios en la nube. Con el uso de este c\u00f3digo malicioso mencionado anteriormente, se han registrado intentos de cargar scripts para minar criptomonedas.<\/p>\n

Despu\u00e9s de estudiar el c\u00f3digo malicioso, se ha detectado<\/a><\/noindex>, que cambios similares est\u00e1n presentes en 10 paquetes<\/a><\/noindex> en Ruby Gems, que no fueron capturados, sino preparados intencionalmente por los atacantes sobre la base de otras bibliotecas populares con nombres similares, donde se reemplaz\u00f3 el gui\u00f3n por un guion bajo o viceversa (por ejemplo, sobre la base de cron-parser<\/a><\/noindex> se cre\u00f3 el paquete malicioso cron_parser, y sobre la base de doge_coin<\/a><\/noindex> se cre\u00f3 el paquete malicioso doge-coin). Paquetes problem\u00e1ticos:<\/p>\n