קוד זדוני זוהה ב-rest-client וב-10 חבילות Ruby אחרות

בחבילת אבני חן פופולרית מנוחה-לקוח, עם סך של 113 מיליון הורדות, מזוהה החלפה של קוד זדוני (CVE-2019-15224) המוריד פקודות ניתנות להפעלה ושולח מידע למארח חיצוני. התקיפה בוצעה דרך פְּשָׁרָה חשבון מפתח rest-client במאגר rubygems.org, ולאחר מכן פרסמו התוקפים מהדורות 13-14 ב-1.6.10 וב-1.6.13 באוגוסט, שכללו שינויים זדוניים. לפני חסימת הגרסאות הזדוניות, כאלף משתמשים הצליחו להוריד אותן (התוקפים שחררו עדכונים לגרסאות ישנות יותר כדי לא למשוך תשומת לב).

השינוי הזדוני עוקף את שיטת "#authenticate" בכיתה
זהות, שלאחריה כל שיחת שיטה גורמת לכך שהמייל והסיסמה שנשלחו במהלך ניסיון האימות נשלחים למארח התוקפים. בדרך זו, יורטים פרמטרי הכניסה של משתמשי שירות המשתמשים במחלקה Identity והתקנת גרסה פגיעה של ספריית rest-client, אשר מומלצים כתלות בחבילות רובי פופולריות רבות, כולל ast (64 מיליון הורדות), oauth (32 מיליון), fastlane (18 מיליון) ו-kubeclient (3.7 מיליון).

בנוסף, נוספה דלת אחורית לקוד, המאפשרת לבצע קוד Ruby שרירותי באמצעות פונקציית eval. הקוד מועבר באמצעות Cookie המאושר על ידי מפתח התוקף. כדי ליידע את התוקפים על התקנת חבילה זדונית על מארח חיצוני, נשלחים כתובת ה-URL של המערכת של הקורבן ומבחר מידע על הסביבה, כגון סיסמאות שמורות ל-DBMS ושירותי הענן. ניסיונות להוריד סקריפטים לכריית מטבעות קריפטוגרפיים נרשמו באמצעות הקוד הזדוני הנ"ל.

לאחר לימוד הקוד הזדוני זה היה גילהששינויים דומים קיימים ב 10 חבילות ב-Ruby Gems, שלא נלכדו, אך הוכנו במיוחד על ידי תוקפים בהתבסס על ספריות פופולריות אחרות בעלות שמות דומים, שבהן המקף הוחלף בקו תחתון או להיפך (לדוגמה, בהתבסס על cron-parser נוצרה חבילה זדונית cron_parser, ומבוססת על doge_coin חבילת מטבעות דוג' זדונית). חבילות בעיה:

• מטבע_בסיס: 4.2.2, 4.2.1
• blockchain_wallet: 0.0.6, 0.0.7
• בוט מדהים: 1.18.0
• מטבע דוג'ה: 1.0.2
• צבעי קפיסטרנו: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• בקרוב: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

החבילה הזדונית הראשונה מרשימה זו פורסמה ב-12 במאי, אך רובן הופיעו ביולי. בסך הכל הורדו חבילות אלו כ-2500 פעמים.

מקור: OpenNet.ru