Ua ʻōlelo aku nā mea hoʻomohala o ka ʻōlelo Rust ua ʻike ʻia kahi pūʻolo rustdecimal i loaʻa i nā code malicious i loko o ka waihona crates.io. Hoʻokumu ʻia ka pūʻolo ma luna o ka pūʻolo rust_decimal kūpono a ua puʻunaue ʻia me ka hoʻohana ʻana i ka like me ka inoa (typesquatting) me ka manaʻo ʻaʻole e ʻike ka mea hoʻohana i ka loaʻa ʻole o kahi underscore ke ʻimi a koho ʻana i kahi module mai kahi papa inoa.
He mea ʻike ʻia ua kūleʻa kēia hoʻolālā a ma ke ʻano o ka helu o nā hoʻoiho, ua liʻiliʻi iki ka pūʻolo fictitious ma hope o ke kumu mua (~ 111 tausani hoʻoiho o rustdecimal 1.23.1 a me 113 tausani o ka rust_decimal 1.23.1 kumu). . I ka manawa like, ʻo ka hapa nui o nā hoʻoiho ʻana he clone pōʻino ʻole i loaʻa ʻole nā code malicious. Ua hoʻohui ʻia nā hoʻololi ʻino i ka lā Malaki 25 ma ka mana rustdecimal 1.23.5, i hoʻoiho ʻia ma kahi o 500 mau manawa ma mua o ka ʻike ʻia ʻana o ka pilikia a ua hoʻopaʻa ʻia ka pūʻolo (manaʻo ʻia ʻo ka hapa nui o nā hoʻoiho o ka mana hewa i hana ʻia e nā bots) a ʻAʻole i hoʻohana ʻia ma ke ʻano he hilinaʻi ma nā pūʻolo ʻē aʻe i loaʻa i loko o ka waihona (hiki paha i ka pōʻai ʻino ke hilinaʻi i nā noi hope).
ʻO nā hoʻololi ʻino ʻo ia ka hoʻohui ʻana i kahi hana hou, Decimal::new, nona ka hoʻokō i loaʻa i nā code obfuscated no ka hoʻoiho ʻana mai kahi kikowaena waho a hoʻomaka i kahi faila hiki ke hoʻokō. I ke kāhea ʻana i ka hana, ua nānā ʻia ka ʻano hoʻololi kaiapuni GITLAB_CI, a inā hoʻonohonoho ʻia, ua hoʻoiho ʻia ka faila /tmp/git-updater.bin mai ka kikowaena waho. Ua kākoʻo ʻia ka hana ma Linux a me macOS (ʻaʻole i kākoʻo ʻia ka paepae Windows).
Ua manaʻo ʻia e hoʻokō ʻia ka hana ʻino i ka wā o ka hoʻāʻo ʻana i nā ʻōnaehana hoʻohui mau. Ma hope o ka pale ʻana i ka rustdecimal, ua nānā nā luna hoʻomalu crates.io i nā ʻike o ka waihona no nā hoʻokomo ʻino like ʻole, akā ʻaʻole i ʻike i nā pilikia i loko o nā pūʻolo ʻē aʻe. Manaʻo ʻia nā mea nona nā ʻōnaehana hoʻohui mau e pili ana i ka paepae GitLab e hōʻoia i ka hoʻohana ʻole ʻana o nā papahana i hoʻāʻo ʻia ma kā lākou mau kikowaena i ka pūʻolo rustdecimal i ko lākou mau hilinaʻi.
Source: opennet.ru