{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Vulnerabilit\u00e0 in RubyGems.org che consente la sostituzione di pacchetti altrui","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stata identificata una vulnerabilit\u00e0 critica nel repository dei pacchetti RubyGems.org (CVE-2022-29176), che consente di sostituire alcuni pacchetti di terze parti nel repository senza le dovute autorizzazioni, avviando il ritiro (yank) di un pacchetto legittimo e caricando al suo posto un altro file con lo stesso nome e numero di versione. <\/p>\n
Per sfruttare con successo la vulnerabilit\u00e0, sono necessarie tre condizioni: <\/p>\n
\n
L'attacco pu\u00f2 essere effettuato solo su pacchetti il cui nome contiene il carattere trattino.\n
L'attaccante deve poter pubblicare un pacchetto gem con una parte del nome fino al simbolo del trattino. Ad esempio, se l'attacco viene eseguito sul pacchetto \u00abrails-html-sanitizer\u00bb, l'attaccante deve pubblicare nel repository il proprio pacchetto \u00abrails-html\u00bb.\n
Il pacchetto sotto attacco deve essere stato creato negli ultimi 30 giorni o non deve essere stato aggiornato negli ultimi 100 giorni. <\/ul>\n
La vulnerabilit\u00e0 \u00e8 causata da un errore nel gestore dell'azione \u00abyank\u00bb, che interpreta la parte del nome dopo il trattino come il nome della piattaforma, permettendo di avviare la rimozione di pacchetti di terzi che corrispondono alla parte del nome fino al simbolo del trattino. In particolare, nel codice del gestore dell'operazione \u00abyank\u00bb per cercare i pacchetti veniva utilizzata la chiamata \u2018find_by!(full_name: \u00ab#{rubygem.name}-#{slug}\u00bb)\u2019, mentre il parametro \u00abslug\u00bb veniva passato dal proprietario del pacchetto per determinare la versione da rimuovere. Il proprietario del pacchetto \u00abrails-html\u00bb poteva invece specificare \u00absanitizer-1.2.3\u00bb invece della versione \u00ab1.2.3\u00bb, il che avrebbe comportato l'applicazione dell'operazione al pacchetto di terzi \u00abrails-html-sanitizer-1.2.3\u00bb. <\/p>\n
Il problema \u00e8 stato identificato da un ricercatore di sicurezza nell'ambito di un programma attivo su HackerOne per il pagamento di ricompense per la scoperta di problemi di sicurezza in noti progetti open source. Il problema \u00e8 stato risolto in RubyGems.org il 5 maggio e, secondo quanto dichiarato dagli sviluppatori, non hanno finora trovato tracce di sfruttamento della vulnerabilit\u00e0 nei log degli ultimi 18 mesi. Tuttavia, \u00e8 stata effettuata solo una revisione superficiale, e in futuro \u00e8 previsto un controllo pi\u00f9 approfondito. <\/p>\n
Per verificare i propri progetti \u00e8 consigliabile analizzare la cronologia delle operazioni nel file Gemfile.lock; l'attivit\u00e0 malevola si esprime nella presenza di modifiche mantenendo nome e versione o cambiando piattaforma (ad esempio, quando il pacchetto gemname-1.2.3 \u00e8 stato aggiornato a gemname-1.2.3-java). Come metodo di protezione contro la sostituzione nascosta dei pacchetti nei sistemi di integrazione continua o nella pubblicazione dei progetti, si consiglia agli sviluppatori di utilizzare Bundler con le opzioni \u00ab--frozen\u00bb o \u00ab--deployment\u00bb per fissare le dipendenze. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"