זוהתה החלפה של קוד זדוני בחבילת רובי Strong_password

В יצא לאור 25 ביוני שחרור של חבילת gem Strong_password 0.7 גילה שינוי זדוני (CVE-2019-13354), הורדה וביצוע של קוד חיצוני שנשלט על ידי תוקף לא ידוע, המתארח בשירות Pastebin. סך ההורדות של הפרויקט הוא 247 אלף, וגרסה 0.6 היא כ-38 אלף. עבור הגרסה הזדונית, מספר ההורדות רשום כ-537, אך לא ברור עד כמה זה מדויק, בהתחשב בכך שהגרסה הזו כבר הוסרה מ-Ruby Gems.

ספריית Strong_password מספקת כלים לבדיקת עוצמת הסיסמה שצוינה על ידי המשתמש במהלך הרישום.
בין שימוש בחבילות Strong_password think_feel_do_engine (65 אלף הורדות), think_feel_do_dashboard (15 אלף הורדות) ו
אירוח על (1.5 אלף). יצוין כי השינוי הזדוני נוסף על ידי אדם לא ידוע שתפס את השליטה במאגר מהכותב.

הקוד הזדוני נוסף רק ל-RubyGems.org, מאגר Git הפרויקט לא הושפע. הבעיה זוהתה לאחר שאחד המפתחים, שמשתמש ב-Strong_password בפרויקטים שלו, החל להבין מדוע השינוי האחרון נוסף למאגר לפני יותר מ-6 חודשים, אך מהדורה חדשה הופיעה באתר RubyGems, שפורסמה מטעם חדש מתחזק, שאף אחד לא שמע עליו לפני כן לא שמעתי כלום.

התוקף יכול להפעיל קוד שרירותי בשרתים באמצעות הגרסה הבעייתית של Strong_password. כאשר זוהתה בעיה ב-Pastebin, נטען סקריפט להפעלת כל קוד שהועבר על ידי הלקוח באמצעות Cookie "__id" ומקודד בשיטת Base64. הקוד הזדוני שלח גם פרמטרים של המארח שעליו הותקן גרסת Strong_password הזדונית לשרת שנשלט על ידי התוקף.

מקור: OpenNet.ru