ការជំនួសលេខកូដព្យាបាទទៅក្នុងកញ្ចប់ Ruby Strong_password ត្រូវបានរកឃើញ

В បានបោះពុម្ពផ្សាយ ការចេញផ្សាយថ្ងៃទី 25 ខែមិថុនានៃកញ្ចប់ត្បូង Strong_password 0.7 បានបង្ហាញ ការផ្លាស់ប្តូរព្យាបាទ (CVE-2019-13354) ការទាញយក និងប្រតិបត្តិកូដខាងក្រៅដែលគ្រប់គ្រងដោយអ្នកវាយប្រហារមិនស្គាល់ ដែលបង្ហោះនៅលើសេវាកម្ម Pastebin ។ ចំនួនសរុបនៃការទាញយកគម្រោងគឺ 247 ពាន់ហើយកំណែ 0.6 គឺប្រហែល 38 ពាន់។ សម្រាប់កំណែព្យាបាទ ចំនួននៃការទាញយកត្រូវបានរាយបញ្ជីជា 537 ប៉ុន្តែវាមិនច្បាស់ថាតើវាត្រឹមត្រូវប៉ុណ្ណានោះទេ ដោយសារការចេញផ្សាយនេះត្រូវបានដកចេញពី Ruby Gems រួចហើយ។

បណ្ណាល័យ Strong_password ផ្តល់ឧបករណ៍សម្រាប់ពិនិត្យមើលភាពខ្លាំងនៃពាក្យសម្ងាត់ដែលបានបញ្ជាក់ដោយអ្នកប្រើប្រាស់អំឡុងពេលចុះឈ្មោះ។
ក្នុងចំណោម ដោយប្រើកញ្ចប់ Strong_password think_feel_do_engine (65 ពាន់ទាញយក), think_feel_do_dashboard (15 ពាន់ទាញយក) និង
superhosting (1.5 ពាន់) ។ វាត្រូវបានកត់សម្គាល់ថាការផ្លាស់ប្តូរព្យាបាទត្រូវបានបន្ថែមដោយមនុស្សមិនស្គាល់ម្នាក់ដែលបានរឹបអូសការគ្រប់គ្រងឃ្លាំងពីអ្នកនិពន្ធ។

លេខកូដព្យាបាទត្រូវបានបន្ថែមទៅ RubyGems.org តែប៉ុណ្ណោះ។ ឃ្លាំង Git គម្រោងនេះមិនរងផលប៉ះពាល់ទេ។ បញ្ហាត្រូវបានកំណត់អត្តសញ្ញាណបន្ទាប់ពីអ្នកអភិវឌ្ឍន៍ម្នាក់ដែលប្រើ Strong_password នៅក្នុងគម្រោងរបស់គាត់បានចាប់ផ្តើមស្វែងយល់ថាហេតុអ្វីបានជាការផ្លាស់ប្តូរចុងក្រោយត្រូវបានបន្ថែមទៅក្នុងឃ្លាំងកាលពីជាង 6 ខែមុន ប៉ុន្តែការចេញផ្សាយថ្មីមួយបានបង្ហាញខ្លួននៅលើ RubyGems ដែលបានបោះពុម្ពក្នុងនាមថ្មី អ្នកថែទាំ ដែលគ្មាននរណាម្នាក់បានឮពីមុនមក ខ្ញុំមិនឮអ្វីទាំងអស់។

អ្នកវាយប្រហារអាចប្រតិបត្តិកូដបំពានលើម៉ាស៊ីនមេដោយប្រើកំណែដែលមានបញ្ហានៃ Strong_password ។ នៅពេលរកឃើញបញ្ហាជាមួយ Pastebin ស្គ្រីបមួយត្រូវបានផ្ទុកដើម្បីដំណើរការកូដណាមួយដែលបានបញ្ជូនដោយអតិថិជនតាមរយៈខូគី "__id" ហើយបានអ៊ិនកូដដោយប្រើវិធីសាស្ត្រ Base64 ។ កូដព្យាបាទក៏បានផ្ញើប៉ារ៉ាម៉ែត្រនៃម៉ាស៊ីនដែលវ៉ារ្យ៉ង់ Strong_password ព្យាបាទត្រូវបានដំឡើងទៅកាន់ម៉ាស៊ីនមេដែលគ្រប់គ្រងដោយអ្នកវាយប្រហារ។

ប្រភព: opennet.ru