{"id":105391,"date":"2022-10-27T15:37:07","date_gmt":"2022-10-27T13:37:07","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/eksperiment-po-polucheniyu-kontrolya-nad-paketami-v-repozitorii-aur"},"modified":"2026-02-04T17:53:52","modified_gmt":"2026-02-04T15:53:52","slug":"eksperiment-po-polucheniyu-kontrolya-nad-paketami-v-repozitorii-aur","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/eksperiment-po-polucheniyu-kontrolya-nad-paketami-v-repozitorii-aur","title":{"rendered":"Exp\u00e9rience de prise de contr\u00f4le des paquets dans le d\u00e9p\u00f4t AUR","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les r\u00e9sultats de l'exp\u00e9rience de prise de contr\u00f4le des paquets dans le d\u00e9p\u00f4t AUR (Arch User Repository), utilis\u00e9 pour la distribution de paquets par des d\u00e9veloppeurs tiers sans inclusion dans les d\u00e9p\u00f4ts principaux de la distribution Arch Linux, ont \u00e9t\u00e9 publi\u00e9s. Les chercheurs ont pr\u00e9par\u00e9 un script v\u00e9rifiant l'expiration des enregistrements de domaines figurant dans les fichiers PKGBUILD et SRCINFO. Lors de l'ex\u00e9cution de ce script, 14 domaines expir\u00e9s ont \u00e9t\u00e9 identifi\u00e9s, utilis\u00e9s dans 20 paquets pour le t\u00e9l\u00e9chargement de fichiers. <\/p>\n

Simple enregistrement de domaine<\/a> pas suffisant pour remplacer le paquet, car le contenu t\u00e9l\u00e9charg\u00e9 est v\u00e9rifi\u00e9 par la somme de contr\u00f4le d\u00e9j\u00e0 charg\u00e9e dans AUR. Cependant, il s'est av\u00e9r\u00e9 que pr\u00e8s de 35 % des paquets dans AUR utilisent le param\u00e8tre \u00ab SKIP \u00bb dans le fichier PKGBUILD pour sauter la v\u00e9rification de la somme de contr\u00f4le (par exemple, en indiquant sha256sums=('SKIP')). Parmi 20 paquets avec des domaines expir\u00e9s, le param\u00e8tre SKIP a \u00e9t\u00e9 utilis\u00e9 dans 4. <\/p>\n

Pour d\u00e9montrer la possibilit\u00e9 d'attaque, les chercheurs ont achet\u00e9 le domaine de l'un des paquets ne v\u00e9rifiant pas les sommes de contr\u00f4le et y ont plac\u00e9 une archive de code et un script d'installation modifi\u00e9. Au lieu du contenu r\u00e9el, le script a ajout\u00e9 un message d'avertissement sur l'ex\u00e9cution de code tiers. La tentative d'installation du paquet entra\u00eenait le t\u00e9l\u00e9chargement de fichiers manipul\u00e9s et, comme la somme de contr\u00f4le n'\u00e9tait pas v\u00e9rifi\u00e9e, aboutissait \u00e0 l'installation r\u00e9ussie et \u00e0 l'ex\u00e9cution du code ajout\u00e9 par les exp\u00e9rimentateurs. <\/p>\n

Les paquets, dont les domaines associ\u00e9s au code se sont r\u00e9v\u00e9l\u00e9s expir\u00e9s : <\/p>\n