RubyGems.org में भेद्यता जो अन्य लोगों के पैकेजों की धोखाधड़ी की अनुमति देती है

RubyGems.org पैकेज रिपॉजिटरी में एक गंभीर भेद्यता (CVE-2022-29176) की पहचान की गई है, जो उचित अधिकार के बिना, रिपॉजिटरी में कुछ अन्य लोगों के पैकेजों को एक वैध पैकेज की शुरुआत करके और उसके स्थान पर लोड करके बदलने की अनुमति देता है। समान नाम और संस्करण संख्या वाली एक अन्य फ़ाइल।

भेद्यता का सफलतापूर्वक दोहन करने के लिए, तीन शर्तों को पूरा करना होगा:

• हमला केवल उन पैकेटों पर किया जा सकता है जिनके नाम में एक हाइफ़न है।
• एक हमलावर को हाइफ़न वर्ण से पहले नाम के भाग के साथ एक रत्न पैकेज रखने में सक्षम होना चाहिए। उदाहरण के लिए, यदि हमला "रेल-एचटीएमएल-सैनिटाइजर" पैकेज पर है, तो हमलावर को अपना खुद का "रेल-एचटीएमएल" पैकेज रिपॉजिटरी में रखना होगा।
• जिस पैकेज पर हमला किया जा रहा है वह पिछले 30 दिनों के भीतर बनाया गया हो या 100 दिनों से अपडेट न किया गया हो।

भेद्यता "यैंक" एक्शन हैंडलर में एक त्रुटि के कारण होती है, जो हाइफ़न के बाद नाम के हिस्से को प्लेटफ़ॉर्म के नाम के रूप में व्याख्या करता है, जिससे नाम के हिस्से से मेल खाने वाले विदेशी पैकेजों को हटाना संभव हो जाता है। हाइफ़न से पहले. विशेष रूप से, "यैंक" हैंडलर कोड में, 'find_by!(full_name: "#{rubygem.name}-#{slug}")" कॉल का उपयोग पैकेज खोजने के लिए किया गया था, जबकि "स्लग" पैरामीटर को पास किया गया था पैकेज स्वामी को हटाए जाने वाले संस्करण का निर्धारण करना होगा। पैकेज "रेल-एचटीएमएल" का मालिक संस्करण "1.2.3" के बजाय "सैनिटाइजर-1.2.3" निर्दिष्ट कर सकता है, जिसके कारण ऑपरेशन किसी और के पैकेज "रेल-एचटीएमएल-सैनिटाइजर-1.2.3" पर लागू होगा। ".

इस मुद्दे की पहचान एक सुरक्षा शोधकर्ता द्वारा ज्ञात ओपन-सोर्स परियोजनाओं में सुरक्षा मुद्दों को खोजने के लिए हैकरवन के इनाम कार्यक्रम के हिस्से के रूप में की गई थी। RubyGems.org में समस्या 5 मई को ठीक कर दी गई थी और डेवलपर्स के अनुसार, उन्होंने अभी तक पिछले 18 महीनों में लॉग में भेद्यता के शोषण के किसी भी निशान की पहचान नहीं की है। वहीं, अब तक केवल सतही ऑडिट किया गया है और भविष्य में और अधिक गहन ऑडिट की योजना बनाई गई है।

अपनी परियोजनाओं की जांच करने के लिए, Gemfile.lock फ़ाइल में संचालन के इतिहास का विश्लेषण करने की अनुशंसा की जाती है; दुर्भावनापूर्ण गतिविधि नाम और संस्करण के संरक्षित होने या प्लेटफ़ॉर्म में बदलाव के साथ परिवर्तनों की उपस्थिति में व्यक्त की जाती है (उदाहरण के लिए, जब रत्न- 1.2.3 पैकेज को जेमनेम-1.2.3-जावा में अद्यतन किया गया है)। सतत एकीकरण प्रणालियों में छिपे पैकेज प्रतिस्थापन से बचाने के लिए या परियोजनाओं को प्रकाशित करते समय, डेवलपर्स को निर्भरता को ठीक करने के लिए "--फ्रोजन" या "--परिनियोजन" विकल्पों के साथ बंडलर का उपयोग करने की सलाह दी जाती है।

स्रोत: opennet.ru