AUR रिपॉजिटरी में पैकेजों पर नियंत्रण पाने के लिए प्रयोग

AUR (आर्क यूजर रिपॉजिटरी) रिपॉजिटरी में पैकेजों पर नियंत्रण हासिल करने के लिए एक प्रयोग के परिणाम, जिसका उपयोग तीसरे पक्ष के डेवलपर्स द्वारा आर्क लिनक्स वितरण के मुख्य रिपॉजिटरी में शामिल किए बिना अपने पैकेजों को वितरित करने के लिए किया जाता है, प्रकाशित किए गए हैं। शोधकर्ताओं ने एक स्क्रिप्ट तैयार की जो PKGBUILD और SRCINFO फ़ाइलों में दिखाई देने वाले डोमेन के पंजीकरण की समाप्ति की जाँच करती है। इस स्क्रिप्ट को चलाने से 14 फ़ाइल अपलोड पैकेजों में उपयोग किए गए 20 समाप्त डोमेन का पता चला।

केवल एक डोमेन पंजीकृत करना पैकेज को धोखा देने के लिए पर्याप्त नहीं है, क्योंकि डाउनलोड की गई सामग्री को AUR में पहले से अपलोड किए गए चेकसम के विरुद्ध जांचा जाता है। हालाँकि, AUR में लगभग 35% पैकेज चेकसम चेक को छोड़ने के लिए PKGBUILD फ़ाइल में "SKIP" पैरामीटर का उपयोग करते प्रतीत होते हैं (उदाहरण के लिए, sha256sums=('SKIP') निर्दिष्ट करें)। समाप्त डोमेन वाले 20 पैकेजों में से 4 में SKIP पैरामीटर का उपयोग किया गया था।

हमला करने की संभावना प्रदर्शित करने के लिए, शोधकर्ताओं ने उन पैकेजों में से एक का डोमेन खरीदा जो चेकसम की जांच नहीं करते हैं, और उस पर कोड और एक संशोधित इंस्टॉलेशन स्क्रिप्ट के साथ एक संग्रह रखा है। वास्तविक सामग्री के बजाय, स्क्रिप्ट में तृतीय-पक्ष कोड के निष्पादन के बारे में एक चेतावनी जोड़ी गई है। पैकेज को स्थापित करने के प्रयास के कारण नकली फ़ाइलें डाउनलोड हो गईं और चूंकि चेकसम की जांच नहीं की गई थी, इसलिए प्रयोगकर्ताओं द्वारा जोड़े गए कोड की सफल स्थापना और लॉन्च हुआ।

समाप्त डोमेन वाले पैकेज:

• फ़ायरफ़ॉक्स-वैक्यूम
• जीवीआईएम-चेकपाथ
• वाइन-पिक्सी2
• xcursor-थीम-wii
• प्रकाशक्षेत्र-मुक्त
• स्केलाफ़एमटी-मूल
• कूलक्यू-प्रो-बिन
• gmedit-bin
• मेसेन-एस-बिन
• पोली-B-गॉन
• इरविज़
• टोट
• kygekteampmmp4
• सर्विसवॉल-गिट
• ताबीजएमएल-बिन
• ईथरडम्प
• झपकी-बिन
• आईएससीएफपीसी
• आईएससीएफपीसी-आर्च64
• आईएससीएफपीसीएक्स

स्रोत: opennet.ru