રૂબી પૅકેજમાં દૂષિત કોડનું સ્થાન Strong_password મળ્યું

В પ્રકાશિત 25 જૂને રત્ન પેકેજ સ્ટ્રોંગ_પાસવર્ડ 0.7 નું રિલીઝ જાહેર કર્યું દૂષિત ફેરફાર (CVE-2019-13354), પેસ્ટબિન સેવા પર હોસ્ટ કરાયેલ અજાણ્યા હુમલાખોર દ્વારા નિયંત્રિત બાહ્ય કોડ ડાઉનલોડ અને એક્ઝિક્યુટ કરવું. પ્રોજેક્ટના ડાઉનલોડ્સની કુલ સંખ્યા 247 હજાર છે, અને સંસ્કરણ 0.6 લગભગ 38 હજાર છે. દૂષિત સંસ્કરણ માટે, ડાઉનલોડ્સની સંખ્યા 537 તરીકે સૂચિબદ્ધ છે, પરંતુ તે સ્પષ્ટ નથી કે આ કેટલું સચોટ છે, જો કે આ પ્રકાશન પહેલાથી જ રૂબી જેમ્સમાંથી દૂર કરવામાં આવ્યું છે.

Strong_password લાઇબ્રેરી વપરાશકર્તા દ્વારા નોંધણી દરમિયાન ઉલ્લેખિત પાસવર્ડની મજબૂતાઈ તપાસવા માટે સાધનો પૂરા પાડે છે.
આ પૈકી સ્ટ્રોંગ_પાસવર્ડ પેકેજનો ઉપયોગ કરીને થિક_ફીલ_ડો_એન્જિન (65 હજાર ડાઉનલોડ્સ), થિંક_ફીલ_ડો_ડૅશબોર્ડ (15 હજાર ડાઉનલોડ્સ) અને
સુપરહોસ્ટિંગ (1.5 હજાર). તે નોંધ્યું છે કે દૂષિત ફેરફાર એક અજાણ્યા વ્યક્તિ દ્વારા ઉમેરવામાં આવ્યો હતો જેણે લેખક પાસેથી ભંડારનું નિયંત્રણ જપ્ત કર્યું હતું.

દૂષિત કોડ ફક્ત RubyGems.org પર ઉમેરવામાં આવ્યો હતો, Git રીપોઝીટરી પ્રોજેક્ટ પ્રભાવિત થયો ન હતો. તેના પ્રોજેક્ટ્સમાં Strong_password નો ઉપયોગ કરતા એક વિકાસકર્તાએ 6 મહિના કરતા વધુ સમય પહેલા રીપોઝીટરીમાં છેલ્લો ફેરફાર શા માટે ઉમેરવામાં આવ્યો હતો તે શોધવાનું શરૂ કર્યા પછી સમસ્યાની ઓળખ કરવામાં આવી હતી, પરંતુ RubyGems પર એક નવું પ્રકાશન દેખાયું હતું, જે એક નવા વતી પ્રકાશિત થયું હતું. જાળવણીકાર, જેમના વિશે મેં કંઈ સાંભળ્યું ન હતું તે પહેલાં કોઈએ સાંભળ્યું ન હતું.

હુમલાખોર Strong_password ના સમસ્યારૂપ સંસ્કરણનો ઉપયોગ કરીને સર્વર પર મનસ્વી કોડ ચલાવી શકે છે. જ્યારે પેસ્ટબિન સાથે સમસ્યા મળી આવી હતી, ત્યારે ક્લાયંટ દ્વારા કૂકી "__id" દ્વારા પસાર કરાયેલ કોઈપણ કોડને ચલાવવા માટે સ્ક્રિપ્ટ લોડ કરવામાં આવી હતી અને Base64 પદ્ધતિનો ઉપયોગ કરીને એન્કોડ કરવામાં આવી હતી. દૂષિત કોડે હોસ્ટના પેરામીટર્સ પણ મોકલ્યા છે કે જેના પર દૂષિત Strong_password વેરિઅન્ટ હુમલાખોર દ્વારા નિયંત્રિત સર્વર પર ઇન્સ્ટોલ કરવામાં આવ્યું હતું.

સોર્સ: opennet.ru