A Rust nyelv fejlesztői figyelmeztettek a crates.io repóban a rustdecimal csomag felfedezéséről, amely rosszindulatú kódot tartalmazott. A csomag egy legitimitásra épülő rust_decimal csomagra alapult, és a nevében rejlő hasonlóság (típuscsalás) miatt került terjesztésre, bízva abban, hogy a felhasználó nem veszi észre az aláhúzás hiányát, miközben keres vagy választ egy modult a listából.
Érdemes megjegyezni, hogy az említett stratégia sikeresnek bizonyult, az álnévletöltések száma alig maradt le az eredetitől (~111 ezer letöltés rustdecimal 1.23.1 és 113 ezer az eredeti rust_decimal 1.23.1 esetében). A legtöbb letöltés egy ártalmatlan klónra esett, amely nem tartalmazott rosszindulatú kódot. A rosszindulatú módosításokat március 25-én adták hozzá a rustdecimal 1.23.5-ös verzióhoz, amelyet a probléma és a csomag blokkolása előtt körülbelül 500 alkalommal töltöttek le (feltehetően a letöltések nagy része botok által történt), és nem használták más csomagok függőségeinél, de nem zárható ki, hogy a rosszindulatú csomag a végső alkalmazások függőségei között szerepelt.
A rosszindulatú módosítások a Decimal::new új funkció hozzáadására korlátozódtak, amelynek megvalósítása obfuszkált kódot tartalmazott külső forrásból történő betöltéshez a szerver és végrehajtható fájl indításához. A funkció meghívásakor ellenőrzésre került a GITLAB_CI környezeti változó, amennyiben be volt állítva, egy külső szerverről betöltődött a fájl /tmp/git-updater.bin. A letöltött rosszindulatú kezelő Linux és macOS rendszeren működött (Windows platform nem volt támogatva).
Feltételezték, hogy a rosszindulatú funkció végrehajtásra kerül a folyamatos integrációs rendszerek tesztelése során. A rustdecimal blokkolása után a crates.io rendszergazdái elemezték a repó tartalmát hasonló rosszindulatú beszúrások után, de nem találtak problémát más csomagokban. A GitLab alapú folyamatos integrációs rendszerek tulajdonosainak javasolják, hogy győződjenek meg arról, hogy a tesztelt szervereken projektek nem használták a rustdecimal csomagot a függőségeik között.
Forrás: opennet.ru
