{"id":37310,"date":"2019-10-31T22:16:54","date_gmt":"2019-10-31T19:16:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod\/"},"modified":"2019-10-31T22:16:54","modified_gmt":"2019-10-31T19:16:54","slug":"v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","title":{"rendered":"Nel rest-client e in altri 10 pacchetti Ruby \u00e8 stato rilevato codice dannoso","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nel popolare pacchetto gem rest-client<\/a><\/noindex>, che conta in totale 113 milioni di download, identificata<\/a><\/noindex> l'inserimento di codice dannoso (CVE-2019-15224), che carica comandi eseguibili e invia informazioni a un host esterno. L'attacco \u00e8 stato realizzato tramite la compromissione<\/a><\/noindex> di un account sviluppatore di rest-client nel repository rubygems.org, dopo di che i malintenzionati hanno pubblicato il 13 e il 14 agosto le versioni 1.6.10-1.6.13, contenenti modifiche dannose. Prima della rimozione delle versioni dannose, circa mille utenti le hanno scaricate (gli attaccanti per non attirare l'attenzione hanno rilasciato aggiornamenti di versioni precedenti).<\/p>\n

La modifica dannosa sovrascrive il metodo \u00ab#authenticate\u00bb nella classe
\nIdentity, dopodich\u00e9 ogni chiamata al metodo porta all'invio dell'email e della password fornita durante il tentativo di autenticazione all'host dei malintenzionati. In questo modo si effettua un intercettazione dei parametri di accesso degli utenti di servizi che utilizzano la classe Identity e hanno installato una versione vulnerabile della libreria rest-client, che figurano<\/a><\/noindex> come dipendenza in molti pacchetti Ruby popolari, tra cui ast (64 milioni di download), oauth (32 milioni), fastlane (18 milioni) e kubeclient (3,7 milioni).<\/p>\n

Inoltre, nel codice \u00e8 stato aggiunto un backdoor che consente di eseguire codice Ruby arbitrario tramite la funzione eval. Il codice viene trasmesso tramite cookie, firmati con la chiave dell'attaccante. Per informare i malintenzionati dell'installazione del pacchetto dannoso su un host esterno, viene inviatato un URL del sistema della vittima e un insieme di informazioni sull'ambiente, come password salvate per database e servizi cloud. Utilizzando il suddetto codice dannoso, sono state registrate tentativi di caricare script per il mining di criptovalute.<\/p>\n

Dopo aver analizzato il codice dannoso, \u00e8 emerso identificate<\/a><\/noindex>, che modifiche simili sono presenti in 10 pacchetti<\/a><\/noindex> in Ruby Gems, che non sono stati catturati, ma preparati appositamente dai malintenzionati sulla base di altre librerie popolari con nomi simili, in cui il trattino \u00e8 stato sostituito con un sottolineato o viceversa (ad esempio, sulla base di cron-parser<\/a><\/noindex> \u00e8 stato creato il pacchetto dannoso cron_parser, mentre sulla base di doge_coin<\/a><\/noindex> \u00e8 stato creato il pacchetto dannoso doge-coin). Pacchetti problematici:<\/p>\n