🥇crate.io रस्ट रिपोजिटरी में एक दुर्भावनापूर्ण पैकेज रस्टडेसीमल का पता चला

रस्ट भाषा के डेवलपर्स ने चेतावनी दी है कि crates.io रिपॉजिटरी में दुर्भावनापूर्ण कोड वाले एक रस्टडेसीमल पैकेज की पहचान की गई है। पैकेज वैध रस्ट_डेसीमल पैकेज पर आधारित था और नाम में समानता (टाइपस्क्वाटिंग) का उपयोग करके इस उम्मीद के साथ वितरित किया गया था कि उपयोगकर्ता किसी सूची से मॉड्यूल खोजते या चुनते समय अंडरस्कोर की अनुपस्थिति पर ध्यान नहीं देगा।

उल्लेखनीय है कि यह रणनीति सफल रही और डाउनलोड की संख्या के मामले में, काल्पनिक पैकेज मूल से थोड़ा ही पीछे था (रस्टडेसीमल 111 के ~1.23.1 हजार डाउनलोड और मूल रस्ट_डेसीमल 113 के 1.23.1 हजार) . साथ ही, अधिकांश डाउनलोड हानिरहित क्लोन के थे जिनमें दुर्भावनापूर्ण कोड नहीं था। दुर्भावनापूर्ण परिवर्तन 25 मार्च को संस्करण रस्टडेसीमल 1.23.5 में जोड़े गए थे, जिसे समस्या की पहचान होने और पैकेज को अवरुद्ध करने से पहले लगभग 500 बार डाउनलोड किया गया था (यह माना जाता है कि दुर्भावनापूर्ण संस्करण के अधिकांश डाउनलोड बॉट्स द्वारा किए गए थे) और रिपॉजिटरी में मौजूद अन्य पैकेजों पर निर्भरता के रूप में उपयोग नहीं किया गया था (यह संभव है कि दुर्भावनापूर्ण पैकेज अंतिम अनुप्रयोगों पर निर्भरता थी)।

दुर्भावनापूर्ण परिवर्तनों में एक नया फ़ंक्शन, दशमलव::नया जोड़ना शामिल था, जिसके कार्यान्वयन में बाहरी सर्वर से डाउनलोड करने और एक निष्पादन योग्य फ़ाइल लॉन्च करने के लिए अस्पष्ट कोड शामिल था। फ़ंक्शन को कॉल करते समय, पर्यावरण चर GITLAB_CI की जाँच की गई थी, और यदि सेट किया गया था, तो फ़ाइल /tmp/git-updater.bin को बाहरी सर्वर से डाउनलोड किया गया था। डाउनलोड करने योग्य दुर्भावनापूर्ण हैंडलर Linux और macOS पर काम करता है (Windows प्लेटफ़ॉर्म समर्थित नहीं था)।

यह मान लिया गया था कि निरंतर एकीकरण प्रणालियों पर परीक्षण के दौरान दुर्भावनापूर्ण फ़ंक्शन निष्पादित किया जाएगा। रस्टडेसीमल को ब्लॉक करने के बाद, crates.io प्रशासकों ने समान दुर्भावनापूर्ण प्रविष्टियों के लिए रिपॉजिटरी की सामग्री का विश्लेषण किया, लेकिन अन्य पैकेजों में समस्याओं की पहचान नहीं की। GitLab प्लेटफ़ॉर्म पर आधारित निरंतर एकीकरण प्रणालियों के मालिकों को यह सुनिश्चित करने की सलाह दी जाती है कि उनके सर्वर पर परीक्षण किए गए प्रोजेक्ट उनकी निर्भरता में रस्टडेसीमल पैकेज का उपयोग न करें।

स्रोत: opennet.ru

रस्ट रिपॉजिटरी crates.io में दुर्भावनापूर्ण पैकेज रस्टडेसीमल का पता चला

एक टिप्पणी जोड़ें उत्तर रद्द