Chaidh toraidhean deuchainn mu bhith a’ glacadh smachd air pacaidean ann an stòr-tasgaidh AUR (Arch User Repository), a chleachdar airson luchd-leasachaidh treas-phàrtaidh de na pacaidean aca a sgaoileadh gun a bhith air an toirt a-steach do phrìomh stòran cuairteachaidh Arch Linux, fhoillseachadh. Dh’ullaich an luchd-rannsachaidh sgriobt a nì sgrùdadh air crìoch chlàraidhean fearainn a tha a’ nochdadh anns na faidhlichean PKGBUILD agus SRCINFO. Nuair a bha an sgriobt seo a’ ruith, chaidh 14 raointean a dh’ fhalbh gu crìch a chomharrachadh, air an cleachdadh ann am pasganan 20 airson faidhlichean a luchdachadh sìos.
Chan eil dìreach clàradh àrainn gu leòr airson pasgan a spoof, leis gu bheil an susbaint a chaidh a luchdachadh sìos air a sgrùdadh an aghaidh an t-seic a chaidh a luchdachadh a-steach don AUR mu thràth. Ach, tha e a’ tionndadh a-mach gu bheil luchd-gleidhidh timcheall air 35% de na pacaidean san AUR a’ cleachdadh am paramadair “SKIP” anns an fhaidhle PKGBUILD gus leum air dearbhadh checksum (mar eisimpleir, sònraich sha256sums = (‘SKIP’)). De na pacaidean 20 le raointean a dh’ fhalbh, chaidh am paramadair SKIP a chleachdadh ann an 4.
Gus sealltainn gu bheil e comasach ionnsaigh a dhèanamh, cheannaich an luchd-rannsachaidh fearann aon de na pacaidean nach eil a ’sgrùdadh checksums agus chuir iad tasglann leis a’ chòd agus sgriobt stàlaidh atharraichte air. An àite an fhìor shusbaint, chaidh teachdaireachd rabhaidh mu bhith a’ cur an gnìomh còd treas-phàrtaidh a chur ris an sgriobt. Mar thoradh air oidhirp air a’ phacaid a chuir a-steach chaidh faidhlichean ionaid a luchdachadh sìos agus, leis nach deach an checksum a sgrùdadh, chaidh an còd a chuir an luchd-deuchainn ris a chuir a-steach agus a chuir air bhog gu soirbheachail.
Pacaidean aig an robh raointean le còd air tighinn gu crìch:
- firefox - falamh
- gvim-seic
- fìon-pixi2
- xcursor-theama-wii
- Lightzone saor an asgaidh
- sgalafmt-dhùthchasach
- coolq-pro-bin
- gmedit-bin
- mesen-s-bin
- polly-b-dh'fhalbh
- erwiz
- totd
- caileag mp4
- balla seirbheis-git
- amuletml-bin
- etherdump
- nap-bin
- iscfpc
- iscfpc-aarch64
- iscfpcx
Source: fosgailtenet.ru