{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Hiba a RubyGems.org webhelyen, amely lehet\u0151v\u00e9 teszi m\u00e1s csomagok cser\u00e9j\u00e9t","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A RubyGems.org csomag-repozitorium\u00e1ban kritikus sebezhet\u0151s\u00e9get (CVE-2022-29176) azonos\u00edtottak, amely lehet\u0151v\u00e9 teszi jogosults\u00e1gok n\u00e9lk\u00fcl, hogy egyes harmadik f\u00e9l csomagokat helyettes\u00edtsenek a repozitoriumban, ha egy legitim csomagot visszavonnak (yank), \u00e9s helyette egy ugyanolyan nev\u0171 \u00e9s verzi\u00f3j\u00fa f\u00e1jlt t\u00f6ltenek fel. <\/p>\n
A sebezhet\u0151s\u00e9g sikeres kihaszn\u00e1l\u00e1s\u00e1hoz h\u00e1rom felt\u00e9tel teljes\u00edt\u00e9se sz\u00fcks\u00e9ges: <\/p>\n
\n
A t\u00e1mad\u00e1s csak olyan csomagokra ir\u00e1nyulhat, amelyek nev\u00e9ben a k\u00f6t\u0151jel szerepel.\n
A t\u00e1mad\u00f3nak lehet\u0151s\u00e9ge van olyan gem-csomagot elhelyezni, amelynek neve a k\u00f6t\u0151jelig terjed. P\u00e9ld\u00e1ul, ha a t\u00e1mad\u00e1s a \"rails-html-sanitizer\" csomagra ir\u00e1nyul, a t\u00e1mad\u00f3 a saj\u00e1t csomagj\u00e1t \"rails-html\" n\u00e9ven kell elhelyezze a t\u00e1rol\u00f3ban.\n
A t\u00e1madott csomagnak az utols\u00f3 30 napon bel\u00fcl kellett l\u00e9trej\u00f6nnie, vagy az elm\u00falt 100 napon bel\u00fcl nem friss\u00fclt. <\/ul>\n
A sebezhet\u0151s\u00e9g oka a \"yank\" m\u0171veletkezel\u0151ben rejl\u0151 hiba, amely a k\u00f6t\u0151jel ut\u00e1ni n\u00e9vr\u00e9szletet platformneveknek tekintette, lehet\u0151v\u00e9 t\u00e9ve ezzel m\u00e1s csomagok elt\u00e1vol\u00edt\u00e1s\u00e1t, amelyek az els\u0151 r\u00e9szben megegyeznek. K\u00fcl\u00f6n\u00f6sen a \"yank\" m\u0171veletkezel\u0151 k\u00f3dj\u00e1ban a csomagok keres\u00e9s\u00e9re a k\u00f6vetkez\u0151 h\u00edv\u00e1st haszn\u00e1lt\u00e1k: 'find_by!(full_name: \"#{rubygem.name}-#{slug}\")', mik\u00f6zben a \"slug\" param\u00e9tert a csomag tulajdonosa adta meg az elt\u00e1vol\u00edtand\u00f3 verzi\u00f3 meghat\u00e1roz\u00e1s\u00e1ra. A \"rails-html\" csomag tulajdonosa a \"1.2.3\" verzi\u00f3 helyett megadhatta a \"sanitizer-1.2.3\" -t, ami a \"rails-html-sanitizer-1.2.3\" csomagra vonatkoz\u00f3 m\u0171velet v\u00e9grehajt\u00e1s\u00e1hoz vezetett. <\/p>\n
A probl\u00e9m\u00e1t egy biztons\u00e1gi kutat\u00f3 az HackerOne-on foly\u00f3 bug bounty program keretein bel\u00fcl azonos\u00edtotta, amely a biztons\u00e1gi probl\u00e9m\u00e1k keres\u00e9s\u00e9re ir\u00e1nyul a neves ny\u00edlt projekteken. A probl\u00e9m\u00e1t a RubyGems.org-on m\u00e1jus 5-\u00e9n jav\u00edtott\u00e1k, \u00e9s a fejleszt\u0151k nyilatkozata szerint m\u00e9g nem tal\u00e1ltak nyomait a sebezhet\u0151s\u00e9g kihaszn\u00e1l\u00e1s\u00e1nak az elm\u00falt 18 h\u00f3nap napl\u00f3iban. Jelenleg csak fel\u00fcletes ellen\u0151rz\u00e9st v\u00e9geztek, \u00e9s tov\u00e1bbi alapos vizsg\u00e1latokat terveznek. <\/p>\n
A projektek ellen\u0151rz\u00e9s\u00e9hez aj\u00e1nlott elemezni a Gemfile.lock f\u00e1jlban tal\u00e1lhat\u00f3 m\u0171veletek t\u00f6rt\u00e9net\u00e9t; a rosszindulat\u00fa tev\u00e9kenys\u00e9g a n\u00e9v \u00e9s verzi\u00f3 meg\u0151rz\u00e9s\u00e9vel vagy a platform megv\u00e1ltoztat\u00e1s\u00e1val fejez\u0151dik ki (p\u00e9ld\u00e1ul amikor a gemname-1.2.3 csomag friss\u00edtve lett gemname-1.2.3-java-ra). A csomagok rejtett cser\u00e9j\u00e9nek v\u00e9delme \u00e9rdek\u00e9ben a folyamatos integr\u00e1ci\u00f3s rendszerekben vagy a projektek k\u00f6zz\u00e9t\u00e9tel\u00e9n\u00e9l a fejleszt\u0151knek aj\u00e1nlott a Bundler haszn\u00e1lata az \"--frozen\" vagy \"--deployment\" opci\u00f3kkal a f\u00fcgg\u0151s\u00e9gek r\u00f6gz\u00edt\u00e9s\u00e9hez. \n Forr\u00e1s: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"