La société Canonical a annoncé la suspension temporaire de l'utilisation du système de vérification automatique des paquets publiés dans le Snap Store en raison de l'apparition de paquets contenant du code malveillant destiné à voler des cryptomonnaies aux utilisateurs. Toutefois, il n'est pas clair si cet incident est limité à la publication de paquets malveillants par des auteurs externes ou s'il existe des problèmes de sécurité directement liés au dépôt, la situation étant qualifiée dans l'annonce officielle de « potentiel incident de sécurité ».
Des détails sur l'incident seront révélés après la fin de l'enquête. Pendant le temps de l'enquête, le service est passé à un mode de révision manuelle, dans lequel toutes les soumissions de nouveaux paquets snap feront l'objet d'une vérification manuelle avant publication. Ce changement n'affectera pas le téléchargement ni la publication des mises à jour pour les paquets snap existants.
Des problèmes ont été détectés dans les paquets ledgerlive, ledger1, trezor-wallet et electrum-wallet2, publiés par des attaquants sous l'apparence de paquets officiels des développeurs des portefeuilles cryptographiques mentionnés, mais n'ayant en réalité aucun lien avec eux. Actuellement, les paquets snap problématiques ont déjà été supprimés du dépôt et ne sont plus disponibles à la recherche et à l'installation via l'outil snap. Des incidents de téléchargement de paquets malveillants dans le Snap Store se sont produits auparavant, par exemple, en 2018, où des paquets contenant un code caché pour le minage de cryptomonnaies ont été découverts dans le Snap Store.
Source : opennet.ru
