Le projet Arch Linux a suspendu l'enregistrement de nouveaux comptes dans le référentiel AUR (Arch User Repository) en raison d'une activité continue d'injection de code malveillant dans les paquets et de vandalisme avec des insultes en russe. Après la première attaque de grande envergure, les développeurs d'Arch Linux ont essayé de se protéger contre le problème par des filtres sélectifs, mais les attaquants ont contourné ces mesures en remplaçant npm par bun et en obscurcissant l'appel de leur code dans la fonction post_install. La possibilité d'enregistrement sera rétablie après la mise en œuvre d'une protection plus efficace.
Pour capturer des paquets, les attaquants ont utilisé la possibilité fournie par AUR d'assurer le suivi des paquets orphelins, c'est-à-dire ceux qui n'ont plus de mainteneurs. Cette possibilité était offerte sans restrictions ni vérifications à quiconque. Actuellement, il y a 107406 paquets dans AUR, dont 13050 ont le statut « orphelin » (il y a une semaine, il y en avait 15261). Au cours de la dernière semaine, 5578 paquets ont été mis à jour dans le référentiel, contre 3446 la semaine précédente. Le référentiel compte 141967 utilisateurs enregistrés et 69 mainteneurs de paquets (la semaine précédente, il y avait 140949 utilisateurs et 69 mainteneurs).
Source : opennet.ru
