{"id":37310,"date":"2019-10-31T22:16:54","date_gmt":"2019-10-31T19:16:54","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod\/"},"modified":"2019-10-31T22:16:54","modified_gmt":"2019-10-31T19:16:54","slug":"v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/v-rest-client-i-eshhyo-10-ruby-paketah-vyyavlen-vredonosnyj-kod","title":{"rendered":"\u00c8 stato individuato codice dannoso in rest-client e in altri 10 pacchetti Ruby","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Nel popolare pacchetto gem rest-client<\/a><\/noindex>, che conta un totale di 113 milioni di download, \u00e8 stata rilevata<\/a><\/noindex> \u00e8 stata inserita una vulnerabilit\u00e0 (CVE-2019-15224) che carica comandi eseguibili e invia informazioni a un host esterno. L'attacco \u00e8 stato effettuato attraverso la compromissione<\/a><\/noindex> dell'account dello sviluppatore del rest-client nel repository rubygems.org, dopo di che gli aggressori hanno pubblicato le versioni 1.6.10-1.6.13 il 13 e 14 agosto, incluse modifiche dannose. Prima che le versioni malevole venissero bloccate, circa mille utenti le avevano gi\u00e0 scaricate (gli aggressori hanno rilasciato aggiornamenti di versioni precedenti per non attirare l'attenzione).<\/p>\n

\u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u0435 \u043f\u0435\u0440\u0435\u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u0435\u0442 \u043c\u0435\u0442\u043e\u0434 «#authenticate» \u0432 \u043a\u043b\u0430\u0441\u0441\u0435
\nIdentity, causando che ogni invocazione del metodo invii l'email e la password fornite durante il tentativo di autenticazione all'host degli aggressori. In questo modo si effettua l'intercettazione dei parametri di accesso degli utenti dei servizi che utilizzano la classe Identity e che hanno installato una versione vulnerabile della libreria rest-client, che figura<\/a><\/noindex> come dipendenza in molti pacchetti Ruby popolari, tra cui ast (64 milioni di download), oauth (32 milioni), fastlane (18 milioni) e kubeclient (3,7 milioni).<\/p>\n

Inoltre, nel codice \u00e8 stata aggiunta una backdoor che consente di eseguire codice Ruby arbitrario tramite la funzione eval. Il codice viene trasmesso tramite un Cookie, autenticato con la chiave dell'attaccante. Per informare i criminali informatici sull'installazione del pacchetto dannoso su un host esterno, vengono inviati l'URL del sistema della vittima e un insieme di informazioni sull'ambiente, come le password salvate per i database e i servizi cloud. Con l'utilizzo del codice dannoso sopra menzionato sono state registrate tentativi di caricare script per il mining di criptovalute.<\/p>\n

Dopo aver esaminato il codice dannoso \u00e8 stato identificato<\/a><\/noindex>, che modifiche simili sono presenti anche in 10 pacchetti<\/a><\/noindex> in Ruby Gems, che non sono stati compromessi, ma appositamente preparati dai criminali informatici sulla base di altre librerie popolari con nomi simili, in cui il trattino \u00e8 stato sostituito con un underscore o viceversa (ad esempio, sulla base di cron-parser<\/a><\/noindex> \u00e8 stato creato il pacchetto dannoso cron_parser, e sulla base di doge_coin<\/a><\/noindex> il pacchetto dannoso doge-coin). Pacchetti problematici:<\/p>\n