פגיעות ב-RubyGems.org, המאפשרת להחליף חבילות של אנשים אחרים

זוהתה פגיעות קריטית (CVE-2022-29176) במאגר החבילות RubyGems.org, המאפשר, ללא סמכות מתאימה, להחליף חבילות של אנשים אחרים במאגר על ידי הפעלת גריפה של חבילה לגיטימית וטעינה במקומה. קובץ אחר עם אותו שם ומספר גרסה.

כדי לנצל את הפגיעות בהצלחה, יש לעמוד בשלושה תנאים:

• ההתקפה יכולה להתבצע רק על מנות שיש להן מקף בשמן.
• תוקף חייב להיות מסוגל למקם חבילת אבני חן עם חלק מהשם לפני תו המקף. לדוגמה, אם ההתקפה היא על חבילת "rails-html-sanitizer", על התוקף למקם את חבילת "rails-html" משלו במאגר.
• החבילה המותקפת חייבת נוצרה ב-30 הימים האחרונים או שלא עודכנה במשך 100 ימים.

הפגיעות נגרמת על ידי שגיאה ב-"yank" בפעולה המפרשת את החלק של השם שאחרי המקף כשם הפלטפורמה, מה שאפשר ליזום מחיקה של חבילות זרות התואמות את החלק של השם לפני המקף. בפרט, בקוד המטפל "yank", הקריאה 'find_by!(full_name: "#{rubygem.name}-#{slug}")" שימשה כדי למצוא חבילות, בעוד שהפרמטר "slug" הועבר על ידי ה- בעל החבילה כדי לקבוע שהגרסה תוסר. הבעלים של החבילה "rails-html" יכול לציין "sanitizer-1.2.3" במקום גרסה "1.2.3", מה שיגרום להחלת הפעולה על החבילה "rails-html-sanitizer-1.2.3" של מישהו אחר ".

הבעיה זוהתה על ידי חוקר אבטחה כחלק מתוכנית הבאונטי של HackerOne למציאת בעיות אבטחה בפרויקטים ידועים בקוד פתוח. הבעיה תוקנה ב-RubyGems.org ב-5 במאי ולפי המפתחים, הם עדיין לא זיהו עקבות של ניצול של הפגיעות ביומנים במהלך 18 החודשים האחרונים. יחד עם זאת, בוצעה עד כה ביקורת שטחית בלבד ומתוכננת ביקורת מעמיקה יותר בעתיד.

כדי לבדוק את הפרויקטים שלכם, מומלץ לנתח את היסטוריית הפעולות בקובץ Gemfile.lock; פעילות זדונית מתבטאת בנוכחות שינויים עם שימור השם והגרסה או שינוי פלטפורמה (לדוגמה, כאשר שם ה-gem. חבילת -1.2.3 מעודכנת ל- gemname-1.2.3-java). כפתרון עוקף להגנה מפני החלפת חבילות נסתרות במערכות אינטגרציה מתמשכות או בעת פרסום פרויקטים, מומלץ למפתחים להשתמש ב-Bundler עם אפשרויות "-frozen" או "-deployment" לתיקון תלות.

מקור: OpenNet.ru