{"id":37310,"date":"2019-10-31T22:16:54","date_gmt":"2019-10-31T19:16:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod\/"},"modified":"2019-10-31T22:16:54","modified_gmt":"2019-10-31T19:16:54","slug":"v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","title":{"rendered":"A rest-client \u00e9s tov\u00e1bbi 10 Ruby-csomagban k\u00e1rt\u00e9kony k\u00f3dot \u00e9szleltek","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

A n\u00e9pszer\u0171 gem-csomagban rest-client<\/a><\/noindex>, amely \u00f6sszesen 113 milli\u00f3 let\u00f6lt\u00e9st sz\u00e1ml\u00e1l, identified<\/a><\/noindex> k\u00e1rt\u00e9kony k\u00f3dot (CVE-2019-15224) injekt\u00e1ltak, amely v\u00e9grehajthat\u00f3 parancsokat t\u00f6lt le \u00e9s inform\u00e1ci\u00f3kat k\u00fcld egy k\u00fcls\u0151 hosztra. A t\u00e1mad\u00e1st a fejleszt\u0151i fi\u00f3k<\/a><\/noindex> kompromitt\u00e1l\u00e1s\u00e1val hajtott\u00e1k v\u00e9gre a rubygems.org t\u00e1rol\u00f3ban, majd a t\u00e1mad\u00f3k augusztus 13-\u00e1n \u00e9s 14-\u00e9n kiadt\u00e1k a 1.6.10-1.6.13 verzi\u00f3kat, amelyek k\u00e1rt\u00e9kony m\u00f3dos\u00edt\u00e1sokat tartalmaztak. A k\u00e1rt\u00e9kony verzi\u00f3k blokkol\u00e1sa el\u0151tt k\u00f6r\u00fclbel\u00fcl ezer felhaszn\u00e1l\u00f3 t\u00f6lt\u00f6tte le \u0151ket (a t\u00e1mad\u00f3k, hogy ne keltsenek gyan\u00fat, r\u00e9gi verzi\u00f3k friss\u00edt\u00e9seivel jelentkeztek).<\/p>\n

A k\u00e1rt\u00e9kony m\u00f3dos\u00edt\u00e1s fel\u00fclb\u00edr\u00e1lja a «#authenticate» met\u00f3dust az oszt\u00e1lyban.
\nIdentity oszt\u00e1lyban, \u00edgy minden h\u00edv\u00e1s sor\u00e1n a hiteles\u00edt\u00e9si k\u00eds\u00e9rletkor megadott email \u00e9s jelsz\u00f3 a t\u00e1mad\u00f3k hosztj\u00e1ra ker\u00fcl. \u00cdgy a felhaszn\u00e1l\u00f3k bel\u00e9p\u00e9si adatait lehet lehallgatni a szolg\u00e1ltat\u00e1sokban, amelyek az Identity oszt\u00e1lyt haszn\u00e1lj\u00e1k \u00e9s sebezhet\u0151 verzi\u00f3t telep\u00edtettek a rest-client k\u00f6nyvt\u00e1rb\u00f3l, amely k\u00f6vetelm\u00e9ny<\/a><\/noindex> sok n\u00e9pszer\u0171 Ruby-csomagban, bele\u00e9rtve az ast (64 milli\u00f3 let\u00f6lt\u00e9s), oauth (32 milli\u00f3), fastlane (18 milli\u00f3) \u00e9s kubeclient (3,7 milli\u00f3).<\/p>\n

Tov\u00e1bb\u00e1, a k\u00f3dba egy h\u00e1ts\u00f3 ajt\u00f3 ker\u00fclt, amely lehet\u0151v\u00e9 teszi tetsz\u0151leges Ruby-k\u00f3d v\u00e9grehajt\u00e1s\u00e1t az eval funkci\u00f3val. A k\u00f3d Cookie-n kereszt\u00fcl ker\u00fcl \u00e1tad\u00e1sra, amelyet a t\u00e1mad\u00f3 kulcsa hiteles\u00edt. A k\u00e1rt\u00e9kony csomag telep\u00edt\u00e9s\u00e9r\u0151l a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra t\u00e1j\u00e9koztat\u00e1st k\u00fcldenek a s\u00e9rtett rendszer URL-j\u00e9vel \u00e9s k\u00f6rnyezeti adatok gy\u0171jt\u00e9s\u00e9vel, mint p\u00e9ld\u00e1ul az adatb\u00e1zisokhoz \u00e9s felh\u0151szolg\u00e1ltat\u00e1sokhoz mentett jelszavak. Az eml\u00edtett k\u00e1rt\u00e9kony k\u00f3d felhaszn\u00e1l\u00e1s\u00e1val a kriptovalut\u00e1k b\u00e1ny\u00e1szat\u00e1hoz kapcsol\u00f3d\u00f3 szkriptek let\u00f6lt\u00e9s\u00e9re ir\u00e1nyul\u00f3 k\u00eds\u00e9rleteket \u00e9szleltek.<\/p>\n

A k\u00e1rt\u00e9kony k\u00f3d tanulm\u00e1nyoz\u00e1sa ut\u00e1n meg\u00e1llap\u00edtott\u00e1k, felfedezve<\/a><\/noindex>, hogy hasonl\u00f3 m\u00f3dos\u00edt\u00e1sok tal\u00e1lhat\u00f3k m\u00e9g 10 csomagban<\/a><\/noindex> a Ruby Gems-en, amelyek nem voltak megszerezve, hanem a t\u00e1mad\u00f3k tudatosan k\u00e9sz\u00edtett\u00e9k m\u00e1s n\u00e9pszer\u0171 k\u00f6nyvt\u00e1rak alapj\u00e1n, hasonl\u00f3 nevekkel, ahol a k\u00f6t\u0151jelet al\u00e1h\u00faz\u00e1sra cser\u00e9lt\u00e9k vagy ford\u00edtva (p\u00e9ld\u00e1ul a cron-parser<\/a><\/noindex> alapj\u00e1n l\u00e9trej\u00f6tt a k\u00e1rt\u00e9kony csomag cron_parser, \u00e9s a doge_coin<\/a><\/noindex> alapj\u00e1n a k\u00e1rt\u00e9kony csomag doge-coin). Probl\u00e9m\u00e1s csomagok:<\/p>\n