रेस्ट-क्लाइंट और 10 अन्य रूबी पैकेजों में दुर्भावनापूर्ण कोड का पता चला

एक लोकप्रिय रत्न पैकेज में आराम-ग्राहक, कुल 113 मिलियन डाउनलोड के साथ, पहचान की दुर्भावनापूर्ण कोड (CVE-2019-15224) का प्रतिस्थापन जो निष्पादन योग्य कमांड डाउनलोड करता है और बाहरी होस्ट को जानकारी भेजता है। के जरिए हमला किया गया समझौता डेवलपर अकाउंट ने Rubygems.org रिपॉजिटरी में क्लाइंट को रेस्ट कर दिया, जिसके बाद हमलावरों ने 13 और 14 अगस्त को 1.6.10-1.6.13 रिलीज़ प्रकाशित की, जिसमें दुर्भावनापूर्ण परिवर्तन शामिल थे। दुर्भावनापूर्ण संस्करणों को अवरुद्ध करने से पहले, लगभग एक हजार उपयोगकर्ता उन्हें डाउनलोड करने में कामयाब रहे (हमलावरों ने ध्यान आकर्षित न करने के लिए पुराने संस्करणों में अपडेट जारी किए)।

दुर्भावनापूर्ण परिवर्तन कक्षा में "#प्रमाणीकरण" विधि को ओवरराइड करता है
पहचान, जिसके बाद प्रत्येक विधि कॉल के परिणामस्वरूप प्रमाणीकरण प्रयास के दौरान भेजे गए ईमेल और पासवर्ड हमलावरों के होस्ट को भेजे जाते हैं। इस तरह, आइडेंटिटी क्लास का उपयोग करने वाले और रेस्ट-क्लाइंट लाइब्रेरी के कमजोर संस्करण को स्थापित करने वाले सेवा उपयोगकर्ताओं के लॉगिन पैरामीटर को इंटरसेप्ट किया जाता है, जो विशेष रुप से प्रदर्शित एएसटी (64 मिलियन डाउनलोड), ओउथ (32 मिलियन), फास्टलेन (18 मिलियन), और क्यूबक्लाइंट (3.7 मिलियन) सहित कई लोकप्रिय रूबी पैकेजों में निर्भरता के रूप में।

इसके अलावा, कोड में एक पिछला दरवाजा जोड़ा गया है, जो मनमाने ढंग से रूबी कोड को eval फ़ंक्शन के माध्यम से निष्पादित करने की अनुमति देता है। कोड हमलावर की कुंजी द्वारा प्रमाणित कुकी के माध्यम से प्रेषित होता है। बाहरी होस्ट पर दुर्भावनापूर्ण पैकेज की स्थापना के बारे में हमलावरों को सूचित करने के लिए, पीड़ित के सिस्टम का यूआरएल और पर्यावरण के बारे में जानकारी का चयन, जैसे डीबीएमएस और क्लाउड सेवाओं के लिए सहेजे गए पासवर्ड, भेजे जाते हैं। उपर्युक्त दुर्भावनापूर्ण कोड का उपयोग करके क्रिप्टोकरेंसी माइनिंग के लिए स्क्रिप्ट डाउनलोड करने का प्रयास रिकॉर्ड किया गया था।

दुर्भावनापूर्ण कोड का अध्ययन करने के बाद यह था प्रकटकि समान परिवर्तन मौजूद हैं 10 पैकेज रूबी रत्नों में, जिन्हें पकड़ा नहीं गया था, लेकिन समान नामों वाले अन्य लोकप्रिय पुस्तकालयों के आधार पर हमलावरों द्वारा विशेष रूप से तैयार किया गया था, जिसमें डैश को अंडरस्कोर या इसके विपरीत से बदल दिया गया था (उदाहरण के लिए, पर आधारित) क्रॉन-पार्सर एक दुर्भावनापूर्ण पैकेज cron_parser बनाया गया था, और उस पर आधारित था कुत्ता_सिक्का डोगे-सिक्का दुर्भावनापूर्ण पैकेज)। समस्या पैकेज:

• सिक्का_आधार: 4.2.2, 4.2.1
• ब्लॉकचेन_वॉलेट: 0.0.6, 0.0.7
• अद्भुत-बॉट: 1.18.0
• कुत्ता-सिक्का: 1.0.2
• कैपिस्ट्रानो-रंग: 0.5.5
• बिटकॉइन_वैनिटी: 4.3.3
• लिटा_कॉइन: 0.0.3
• जल्द आ रहा है: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

इस सूची में से पहला दुर्भावनापूर्ण पैकेज 12 मई को पोस्ट किया गया था, लेकिन उनमें से अधिकांश जुलाई में दिखाई दिए। कुल मिलाकर, इन पैकेजों को लगभग 2500 बार डाउनलोड किया गया।

स्रोत: opennet.ru