Il progetto Arch Linux ha sospeso la registrazione di nuovi account nel repository AUR (Arch User Repository) a causa di ripetuti attacchi mirati all'inserimento di codice dannoso nei pacchetti e atti di vandalismo con insulti in lingua russa. Dopo il primo attacco di massa, gli sviluppatori di Arch Linux hanno cercato di proteggersi attraverso filtri selettivi, ma gli aggressori sono riusciti a superarli sostituendo npm con bun e offuscando le chiamate al loro codice nella funzione post_install. La possibilità di registrazione sarà ripristinata dopo l'implementazione di una protezione più efficace.
Per appropriarsi dei pacchetti, gli aggressori hanno utilizzato la possibilità fornita dall'AUR di diventare manutentori dei pacchetti rimasti senza curatori e con status «orphaned». Questa possibilità era disponibile senza restrizioni e controlli per chiunque fosse interessato. Attualmente, nell'AUR sono presenti 107406 pacchetti, di cui 13050 hanno lo status «orphaned» (una settimana fa erano 15261). Nell'ultima settimana sono stati aggiornati 5578 pacchetti nel repository, mentre nella settimana precedente erano 3446. Il repository conta 141967 utenti registrati e 69 manutentori (la settimana precedente erano 140949 utenti e 69 manutentori).
Fonte: opennet.ru
