{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Une vuln\u00e9rabilit\u00e9 sur RubyGems.org permet de substituer des paquets tiers.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 critique (CVE-2022-29176) a \u00e9t\u00e9 identifi\u00e9e dans le d\u00e9p\u00f4t de paquets RubyGems.org, permettant de remplacer des paquets tiers dans le d\u00e9p\u00f4t sans autorisation ad\u00e9quate en initiant le retrait (yank) d'un paquet l\u00e9gitime et en t\u00e9l\u00e9chargeant un autre fichier avec le m\u00eame nom et le m\u00eame num\u00e9ro de version \u00e0 la place. <\/p>\n
Pour qu'une exploitation de la vuln\u00e9rabilit\u00e9 r\u00e9ussisse, trois conditions doivent \u00eatre remplies : <\/p>\n
\n
L'attaque ne peut \u00eatre effectu\u00e9e que sur des paquets dont le nom contient le symbole de tiret.\n
L'attaquant doit \u00eatre capable de soumettre un paquet gem dont le nom partiel pr\u00e9c\u00e8de le tiret. Par exemple, si l'attaque cible le paquet \u00ab rails-html-sanitizer \u00bb, l'attaquant doit soumettre son propre paquet \u00ab rails-html \u00bb dans le d\u00e9p\u00f4t.\n
Le paquet qui est attaqu\u00e9 doit avoir \u00e9t\u00e9 cr\u00e9\u00e9 au cours des 30 derniers jours ou ne pas avoir \u00e9t\u00e9 mis \u00e0 jour pendant 100 jours. <\/ul>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par une erreur dans le gestionnaire d'action \u00ab yank \u00bb, qui interpr\u00e8te la partie du nom apr\u00e8s le tiret comme le nom de la plateforme, permettant ainsi de d\u00e9clencher la suppression de paquets d'autres utilisateurs qui partagent le d\u00e9but du nom avant le tiret. En particulier, dans le code du gestionnaire d'op\u00e9ration \u00ab yank \u00bb, un appel a \u00e9t\u00e9 utilis\u00e9 pour rechercher des paquets : \u2018find_by!(full_name: \u00ab #{rubygem.name}-#{slug} \u00bb)\u2019 , alors que le param\u00e8tre \u00ab slug \u00bb \u00e9tait fourni par le propri\u00e9taire du paquet pour d\u00e9terminer la version \u00e0 supprimer. Le propri\u00e9taire du paquet \u00ab rails-html \u00bb pouvait sp\u00e9cifier \u00ab sanitizer-1.2.3 \u00bb au lieu de \u00ab 1.2.3 \u00bb, ce qui aurait entra\u00een\u00e9 l'application de l'op\u00e9ration sur le paquet \u00e9tranger \u00ab rails-html-sanitizer-1.2.3 \u00bb. <\/p>\n
Le probl\u00e8me a \u00e9t\u00e9 d\u00e9couvert par un chercheur en s\u00e9curit\u00e9 dans le cadre d'un programme de r\u00e9compense en cours sur HackerOne pour la recherche de probl\u00e8mes de s\u00e9curit\u00e9 dans des projets open source connus. Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 dans RubyGems.org le 5 mai et selon les d\u00e9veloppeurs, ils n'ont pour l'instant pas d\u00e9tect\u00e9 de traces d'exploitation de la vuln\u00e9rabilit\u00e9 dans les journaux au cours des 18 derniers mois. Cependant, seul un audit superficiel a \u00e9t\u00e9 r\u00e9alis\u00e9 et des v\u00e9rifications plus approfondies sont pr\u00e9vues \u00e0 l'avenir. <\/p>\n
Il est recommand\u00e9 d'analyser l'historique des op\u00e9rations dans le fichier Gemfile.lock pour v\u00e9rifier vos projets. Une activit\u00e9 malveillante se traduit par des modifications avec conservation du nom et de la version ou changement de plateforme (par exemple, lorsque le paquet gemname-1.2.3 est mis \u00e0 jour en gemname-1.2.3-java). En tant que solution de contournement pour se prot\u00e9ger contre le remplacement cach\u00e9 de paquets dans les syst\u00e8mes d'int\u00e9gration continue ou lors de la publication de projets, il est conseill\u00e9 d'utiliser Bundler avec les options \u00ab --frozen \u00bb ou \u00ab --deployment \u00bb pour verrouiller les d\u00e9pendances. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"