{"id":37310,"date":"2019-10-31T22:16:54","date_gmt":"2019-10-31T19:16:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod\/"},"modified":"2019-10-31T22:16:54","modified_gmt":"2019-10-31T19:16:54","slug":"v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","title":{"rendered":"Un code malveillant a \u00e9t\u00e9 d\u00e9tect\u00e9 dans rest-client et 10 autres paquets Ruby","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dans le populaire paquet gem rest-client<\/a><\/noindex>, qui totalise 113 millions de t\u00e9l\u00e9chargements, une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e<\/a><\/noindex> , une injection de code malveillant (CVE-2019-15224) qui ex\u00e9cute des commandes et envoie des informations vers un h\u00f4te externe. L'attaque a \u00e9t\u00e9 r\u00e9alis\u00e9e via la compromission<\/a><\/noindex> du compte d\u00e9veloppeur de rest-client sur le d\u00e9p\u00f4t rubygems.org, apr\u00e8s quoi les attaquants ont publi\u00e9 les versions 1.6.10-1.6.13 les 13 et 14 ao\u00fbt, incluant des modifications malveillantes. Avant le blocage des versions malveillantes, environ mille utilisateurs les avaient t\u00e9l\u00e9charg\u00e9es (les attaquants, pour ne pas attirer l'attention, ont publi\u00e9 des mises \u00e0 jour de versions anciennes).<\/p>\n

La modification malveillante red\u00e9finit la m\u00e9thode \u00ab #authenticate \u00bb dans la classe
\nIdentity, chaque appel \u00e0 cette m\u00e9thode entra\u00eenant l'envoi de l'email et du mot de passe fournis lors de la tentative d'authentification vers l'h\u00f4te des attaquants. Cela permet l'interception des param\u00e8tres de connexion des utilisateurs de services utilisant la classe Identity et ayant install\u00e9 une version vuln\u00e9rable de la biblioth\u00e8que rest-client, qui est pr\u00e9sente<\/a><\/noindex> comme d\u00e9pendance dans de nombreux paquets Ruby populaires, y compris ast (64 millions de t\u00e9l\u00e9chargements), oauth (32 millions), fastlane (18 millions) et kubeclient (3,7 millions).<\/p>\n

De plus, un backdoor a \u00e9t\u00e9 ajout\u00e9 au code, permettant l'ex\u00e9cution de code Ruby arbitraire via la fonction eval. Le code est transmis via un cookie sign\u00e9 par la cl\u00e9 de l'attaquant. Pour informer les attaquants de l'installation du paquet malveillant sur un h\u00f4te externe, un URL du syst\u00e8me de la victime et un ensemble d'informations sur l'environnement, telles que les mots de passe enregistr\u00e9s pour les bases de donn\u00e9es et les services cloud, sont envoy\u00e9s. Des tentatives de chargement de scripts pour le minage de cryptomonnaies ont \u00e9t\u00e9 enregistr\u00e9es en utilisant le code malveillant mentionn\u00e9 ci-dessus.<\/p>\n

Apr\u00e8s avoir analys\u00e9 le code malveillant, il a \u00e9t\u00e9 d\u00e9tect\u00e9<\/a><\/noindex>, not\u00e9 que des modifications similaires sont pr\u00e9sentes dans 10 paquets<\/a><\/noindex> dans Ruby Gems, qui n'ont pas \u00e9t\u00e9 captur\u00e9s, mais sp\u00e9cialement pr\u00e9par\u00e9s par les attaquants sur la base d'autres biblioth\u00e8ques populaires avec des noms similaires, dans lesquels le tiret a \u00e9t\u00e9 remplac\u00e9 par un underscore ou inversement (par exemple, bas\u00e9 sur cron-parser<\/a><\/noindex> un paquet malveillant cron_parser a \u00e9t\u00e9 cr\u00e9\u00e9, et sur la base de doge_coin<\/a><\/noindex> le paquet malveillant doge-coin). Paquets probl\u00e9matiques :<\/p>\n