રેસ્ટ-ક્લાયન્ટ અને 10 અન્ય રૂબી પેકેજોમાં દૂષિત કોડ મળ્યો

લોકપ્રિય રત્ન પેકેજમાં આરામનો ગ્રાહક, કુલ 113 મિલિયન ડાઉનલોડ્સ સાથે, ઓળખાયેલ દૂષિત કોડની અવેજીમાં (CVE-2019-15224) જે એક્ઝિક્યુટેબલ આદેશો ડાઉનલોડ કરે છે અને બાહ્ય હોસ્ટને માહિતી મોકલે છે. દ્વારા હુમલો કરવામાં આવ્યો હતો સમાધાન rubygems.org રિપોઝીટરીમાં ડેવલપર એકાઉન્ટ રેસ્ટ-ક્લાયન્ટ, જેના પછી હુમલાખોરોએ 13 અને 14 ઓગસ્ટના રોજ 1.6.10-1.6.13 રિલીઝ પ્રકાશિત કર્યા, જેમાં દૂષિત ફેરફારોનો સમાવેશ થાય છે. દૂષિત સંસ્કરણોને અવરોધિત કરવામાં આવે તે પહેલાં, લગભગ એક હજાર વપરાશકર્તાઓ તેમને ડાઉનલોડ કરવામાં વ્યવસ્થાપિત હતા (હમલાખોરોએ ધ્યાન આકર્ષિત ન કરવા માટે જૂના સંસ્કરણોમાં અપડેટ્સ પ્રકાશિત કર્યા હતા).

દૂષિત ફેરફાર વર્ગમાં "#authenticate" પદ્ધતિને ઓવરરાઇડ કરે છે
ઓળખ, જેના પછી દરેક મેથડ કૉલ હુમલાખોરોના હોસ્ટને મોકલવામાં આવતા પ્રમાણીકરણ પ્રયાસ દરમિયાન મોકલવામાં આવેલ ઇમેઇલ અને પાસવર્ડમાં પરિણમે છે. આ રીતે, આઇડેન્ટિટી ક્લાસનો ઉપયોગ કરીને અને રેસ્ટ-ક્લાયન્ટ લાઇબ્રેરીના નબળા વર્ઝનને ઇન્સ્ટોલ કરી રહેલા સર્વિસ યુઝર્સના લોગિન પેરામીટર્સ અટકાવવામાં આવે છે, જે વૈશિષ્ટિકૃત ast (64 મિલિયન ડાઉનલોડ્સ), oauth (32 મિલિયન), ફાસ્ટલેન (18 મિલિયન), અને kubeclient (3.7 મિલિયન) સહિત ઘણા લોકપ્રિય રૂબી પેકેજોમાં નિર્ભરતા તરીકે.

વધુમાં, કોડમાં બેકડોર ઉમેરવામાં આવ્યું છે, જે ઇવલ ફંક્શન દ્વારા મનસ્વી રૂબી કોડને એક્ઝિક્યુટ કરવાની મંજૂરી આપે છે. કોડ હુમલાખોરની કી દ્વારા પ્રમાણિત કૂકી દ્વારા પ્રસારિત થાય છે. બાહ્ય હોસ્ટ પર દૂષિત પેકેજના ઇન્સ્ટોલેશન વિશે હુમલાખોરોને જાણ કરવા માટે, પીડિતની સિસ્ટમનું URL અને પર્યાવરણ વિશેની માહિતીની પસંદગી, જેમ કે DBMS અને ક્લાઉડ સેવાઓ માટે સાચવેલા પાસવર્ડ્સ મોકલવામાં આવે છે. ઉપરોક્ત દૂષિત કોડનો ઉપયોગ કરીને ક્રિપ્ટોકરન્સી માઇનિંગ માટે સ્ક્રિપ્ટો ડાઉનલોડ કરવાના પ્રયાસો રેકોર્ડ કરવામાં આવ્યા હતા.

દૂષિત કોડનો અભ્યાસ કર્યા પછી તે હતું જાહેર કર્યુંજેમાં સમાન ફેરફારો હાજર છે 10 પેકેજો રૂબી જેમ્સમાં, જે કબજે કરવામાં આવ્યા ન હતા, પરંતુ સમાન નામો સાથે અન્ય લોકપ્રિય પુસ્તકાલયોના આધારે હુમલાખોરો દ્વારા ખાસ તૈયાર કરવામાં આવ્યા હતા, જેમાં ડેશને અંડરસ્કોર અથવા તેનાથી વિપરીત સાથે બદલવામાં આવ્યો હતો (ઉદાહરણ તરીકે, તેના આધારે ક્રોન-પાર્સર દૂષિત પેકેજ cron_parser બનાવવામાં આવ્યું હતું, અને તેના આધારે doge_coin દૂષિત ડોજ-કોઈન પેકેજ). સમસ્યા પેકેજો:

• સિક્કા_આધાર: 4.2.2, 4.2.1
• બ્લોકચેન_વોલેટ: 0.0.6, 0.0.7
• અદ્ભુત-બોટ: 1.18.0
• ડોગ-સિક્કો: 1.0.2
• capistrano-રંગો: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• ટૂક સમયમાં આવી રહ્યું છે: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

આ સૂચિમાંથી પ્રથમ દૂષિત પેકેજ 12 મેના રોજ પોસ્ટ કરવામાં આવ્યું હતું, પરંતુ તેમાંથી મોટાભાગના જુલાઈમાં દેખાયા હતા. કુલ મળીને, આ પેકેજો લગભગ 2500 વખત ડાઉનલોડ કરવામાં આવ્યા હતા.

સોર્સ: opennet.ru