Rest-clientis ja veel 10 Ruby paketis tuvastati pahavara

Populaarses gem-paketis rest-client, mille allalaadimised ulatuvad kokku 113 miljoni juurde, tuvastatud oli pahavara koodi süstimine (CVE-2019-15224), mis laadib alla täitmiskiirusid ja saadab teavet välisele hostile. Rünnak viidi läbi arendaja rest-client konto kompromiteerimise kaudu rubygems.org-repositooriumis, mille järel avaldasid kurjategijad 13. ja 14. augustil versioonid 1.6.10-1.6.13, mis sisaldasid pahatahtlikke muudatusi. Enne pahavara versioonide blokeerimist jõudsid neid alla laadida umbes tuhat kasutajat (rünnakud, et mitte tähelepanu tõmmata, vabastasid vanade versioonide uuendused).

Pahatahtlik muudatus ületab meetodi „#authenticate” klassis
Identity, mille järel iga meetodi kutse toob kaasa antud autentimise katse e-posti ja parooli saatmise kurjategijate hostile. Nii toimub kasutajate sisselogimise parameetrite keelamine teenustes, mis kasutavad klassi Identity ja on installinud haavatava versiooni raamatukogust rest-client, mis mängib rolli paljude populaarsete Ruby-pakettide, sealhulgas ast (64 miljonit allalaadimist), oauth (32 miljonit), fastlane (18 miljonit) ja kubeclient (3,7 miljonit), sõltuvusena.

Lisaks on koodile lisatud tagaukse võimalus täita mis tahes Ruby-koodi funktsiooniga eval. Kood edastatakse küpsise kaudu, mis on allkirjastatud ründaja võtmega. Kurjategijatele saadetakse teave pahavara paketi installimise kohta välisele hostile, sealhulgas sihtsüsteemi URL ja andmed keskkonna kohta, näiteks salvestatud andmebaasi ja pilveteenuste paroolid. Ülalnimetatud pahavara koodiga on registreeritud katseid laadida krüptovaluutade kaevandamiseks skripte.

Pahalaste koodi uurimise järel leiti, et sarnased muudatused esinevad veel 35 haavatavust, mille alusel on välja töötatud mitmeid rünnakustsenaariume, mis võimaldavad AES-võtmete väljavõtmist enclavest või koodi käivitamist, luues tingimusi mälu sisu rikkumiseks., et sarnased muudatused esinevad veel 10 paketis Ruby Gemsis, mis ei olnud haaratud, vaid kurjategijate poolt ette valmistatud muude populaarsete raamatukogude põhjal sarnaste nimedega, kus sidekriipsud on asendatud alakriipsuga või vastupidi (näiteks põhjal cron-parser loodi pahavara paketid cron_parser, ja põhjal doge_coin loodi pahavara paketid doge-coin). Probleemsed paketid:

• coin_base: 4.2.2, 4.2.1
• blockchain_wallet: 0.0.6, 0.0.7
• awesome-bot: 1.18.0
• doge-coin: 1.0.2
• capistrano-colors: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• coming-soon: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

Esimene pahavara pakett sellest nimekirjast avaldati 12. mail, kuid enamus neist ilmus juulis. Kokku said nimetatud pakette alla laadida umbes 2500 korda.

Allikas: opennet.ru