Turvaauk RubyGems.org-is, mis võimaldab kellegi teise pakette asendada

RubyGems.org pakettirepositooriumis tuvastati kriitiline haavatavus (CVE-2022-29176), mis võimaldab ilma vajalike volitusteta asendada mõned teised paketid reposis, algatades kehtiva paketi „yank” eemaldamise ja laadides selle asemel üles teise faili sama nime ja versiooninumbriga.

Haavatavuse edukaks ära kasutamiseks on vajalik kolm tingimust:

• Rünnakut saab teostada ainult pakettide puhul, mille nimes on miinusmärk.
• Ründajal peab olema võimalus paigutada gem-pakett, mille nimi sisaldab osa enne miinusmärki. Näiteks, kui rünnak suunatakse paketile „rails-html-sanitizer”, peab ründaja paigutama reposse oma paketi „rails-html”.
• Rünnaku sihtpakett peab olema loodud viimase 30 päeva jooksul või mitte olema uuendatud 100 päeva jooksul.

Haavatavus tuleneb veast „yank” toimingu töötlejas, mis tõlgendas nime osa pärast miinusmärki platvormi nimeks, mis võimaldas algatada teiste pakettide eemaldamise, mille nimed kattusid miinusmärgini. Eelkõige oli „yank” toimingu töötleja koodis pakettide leidmiseks kasutatud kutsungit ‘find_by!(full_name: „#{rubygem.name}-#{slug}”)’, samas kui parameetrit „slug” edastas paketi omanik eemaldatava versiooni määramiseks. Paketi „rails-html” omanik sai versiooni „1.2.3” asemel märkida „sanitizer-1.2.3”, mis oleks viinud toimingu rakendamiseni teise paketi „rails-html-sanitizer-1.2.3” suhtes.

Probleem tuvastati turvauurija poolt HackerOne'i raames käimasoleva turvarikkumiste otsimise kaebuste preemia programmi raames tuntud avatud projektide jaoks. Probleem lahendati RubyGems.org-is 5. mail ja arendajate väitel ei ole nad seni avastanud jälgi haavatavuse ärakasutamisest viimase 18 kuu logides. Siiski on läbi viidud ainult pindmine audit ja edasine põhjalikum kontroll on plaanis.

Oma projektide kontrollimiseks on soovitatav analüüsida Gemfile.lock failis tehtud toimingute ajalugu; pahatahtlik tegevus avaldub muudatuste tegemises, mis säilitavad nime ja versiooni või platvormi muutmise vormis (näiteks kui pakett gemname-1.2.3 on uuendatud gemname-1.2.3-java versiooniks). Kaitstes end varjatud pakettide asendamise eest pideva integreerimise süsteemides või arendajate projektide avaldamisel, soovitatakse kasutada Bundlerit koos „—frozen” või „—deployment” valikutega sõltuvuste fikseerimiseks.

Allikas: opennet.ru