{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Vulnerabilit\u00e0 in RubyGems.org che consente di sostituire pacchetti di altri","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel repository di pacchetti RubyGems.org \u00e8 stata identificata una vulnerabilit\u00e0 critica (CVE-2022-29176), che consente, in assenza dei necessari permessi, di sostituire alcuni pacchetti altrui nel repository mediante l'inizio di un'operazione di rimozione (yank) di un pacchetto legittimo e il caricamento al suo posto di un altro file con lo stesso nome e numero di versione. <\/p>\n
Per sfruttare con successo la vulnerabilit\u00e0 \u00e8 necessario che siano soddisfatte tre condizioni: <\/p>\n
\n
L'attacco pu\u00f2 essere effettuato solo su pacchetti il cui nome contiene il carattere trattino.\n
L'attaccante deve essere in grado di posizionare un pacchetto gem con parte del nome fino al carattere trattino. Ad esempio, se l'attacco viene effettuato sul pacchetto \u00abrails-html-sanitizer\u00bb, l'attaccante deve posizionare nel repository il proprio pacchetto \u00abrails-html\u00bb.\n
Il pacchetto bersaglio dell'attacco deve essere stato creato negli ultimi 30 giorni o non essere stato aggiornato negli ultimi 100 giorni. <\/ul>\n
La vulnerabilit\u00e0 \u00e8 causata da un errore nel gestore dell'azione \u00abyank\u00bb, che interpreta la parte del nome dopo il trattino come il nome della piattaforma, permettendo di avviare la rimozione di pacchetti altrui che corrispondono nella parte del nome fino al trattino. In particolare, nel codice del gestore dell'operazione \u00abyank\u00bb, per cercare i pacchetti \u00e8 stata utilizzata la chiamata \u2018find_by!(full_name: \u00ab#{rubygem.name}-#{slug}\u00bb)\u2019, dove il parametro \u00abslug\u00bb veniva fornito dal proprietario del pacchetto per identificare la versione da rimuovere. Il proprietario del pacchetto \u00abrails-html\u00bb poteva invece indicare \u00absanitizer-1.2.3\u00bb invece della versione \u00ab1.2.3\u00bb, il che porterebbe ad applicare l'operazione a un pacchetto altrui \u00abrails-html-sanitizer-1.2.3\u00bb. <\/p>\n
Il problema \u00e8 stato identificato da un ricercatore di sicurezza nell'ambito del programma attivo su HackerOne di ricompense per la segnalazione di problemi di sicurezza in noti progetti open source. La questione \u00e8 stata risolta in RubyGems.org il 5 maggio e, secondo quanto dichiarato dagli sviluppatori, al momento non sono state trovate tracce di sfruttamento della vulnerabilit\u00e0 nei log degli ultimi 18 mesi. Finora \u00e8 stata condotta solo una revisione superficiale e si prevede di effettuare un controllo pi\u00f9 approfondito in seguito. <\/p>\n
Si raccomanda di analizzare la cronologia delle operazioni nel file Gemfile.lock per verificare i propri progetti, l'attivit\u00e0 dannosa si manifesta con modifiche mantenendo il nome e la versione o cambiando la piattaforma (ad esempio, quando il pacchetto gemname-1.2.3 \u00e8 stato aggiornato a gemname-1.2.3-java). Come metodo alternativo per proteggersi dalla sostituzione nascosta dei pacchetti nei sistemi di integrazione continua o durante la pubblicazione dei progetti, \u00e8 consigliato agli sviluppatori di utilizzare Bundler con le opzioni \u00ab--frozen\u00bb o \u00ab--deployment\u00bb per fissare le dipendenze. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"