ಆರ್ಚ್ ಲಿನಕ್ಸ್ ವಿತರಣೆಯ ಮುಖ್ಯ ರೆಪೊಸಿಟರಿಗಳಲ್ಲಿ ಸೇರಿಸದೆಯೇ ತಮ್ಮ ಪ್ಯಾಕೇಜುಗಳ ಮೂರನೇ-ಪಕ್ಷದ ಡೆವಲಪರ್‌ಗಳು ವಿತರಿಸಲು ಬಳಸಲಾಗುವ AUR (ಆರ್ಚ್ ಯೂಸರ್ ರೆಪೊಸಿಟರಿ) ರೆಪೊಸಿಟರಿಯಲ್ಲಿನ ಪ್ಯಾಕೇಜ್‌ಗಳ ನಿಯಂತ್ರಣವನ್ನು ವಶಪಡಿಸಿಕೊಳ್ಳುವ ಪ್ರಯೋಗದ ಫಲಿತಾಂಶಗಳನ್ನು ಪ್ರಕಟಿಸಲಾಗಿದೆ. ಸಂಶೋಧಕರು PKGBUILD ಮತ್ತು SRCINFO ಫೈಲ್‌ಗಳಲ್ಲಿ ಕಾಣಿಸಿಕೊಳ್ಳುವ ಡೊಮೇನ್ ನೋಂದಣಿಗಳ ಮುಕ್ತಾಯವನ್ನು ಪರಿಶೀಲಿಸುವ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಸಿದ್ಧಪಡಿಸಿದ್ದಾರೆ. ಈ ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ಚಾಲನೆ ಮಾಡುವಾಗ, 14 ಅವಧಿ ಮೀರಿದ ಡೊಮೇನ್‌ಗಳನ್ನು ಗುರುತಿಸಲಾಗಿದೆ, ಫೈಲ್‌ಗಳನ್ನು ಡೌನ್‌ಲೋಡ್ ಮಾಡಲು 20 ಪ್ಯಾಕೇಜ್‌ಗಳಲ್ಲಿ ಬಳಸಲಾಗಿದೆ.
ಪ್ಯಾಕೇಜ್ ಅನ್ನು ವಂಚಿಸಲು ಡೊಮೇನ್ ಅನ್ನು ನೋಂದಾಯಿಸುವುದು ಸಾಕಾಗುವುದಿಲ್ಲ, ಏಕೆಂದರೆ ಡೌನ್‌ಲೋಡ್ ಮಾಡಿದ ವಿಷಯವನ್ನು ಈಗಾಗಲೇ AUR ಗೆ ಲೋಡ್ ಮಾಡಲಾದ ಚೆಕ್‌ಸಮ್ ವಿರುದ್ಧ ಪರಿಶೀಲಿಸಲಾಗುತ್ತದೆ. ಆದಾಗ್ಯೂ, AUR ನಲ್ಲಿನ ಸುಮಾರು 35% ಪ್ಯಾಕೇಜ್‌ಗಳ ನಿರ್ವಾಹಕರು ಚೆಕ್‌ಸಮ್ ಪರಿಶೀಲನೆಯನ್ನು ಬಿಟ್ಟುಬಿಡಲು PKGBUILD ಫೈಲ್‌ನಲ್ಲಿ "SKIP" ಪ್ಯಾರಾಮೀಟರ್ ಅನ್ನು ಬಳಸುತ್ತಾರೆ (ಉದಾಹರಣೆಗೆ, sha256sums=('SKIP') ಅನ್ನು ಸೂಚಿಸಿ). ಅವಧಿ ಮೀರಿದ ಡೊಮೇನ್‌ಗಳನ್ನು ಹೊಂದಿರುವ 20 ಪ್ಯಾಕೆಟ್‌ಗಳಲ್ಲಿ, SKIP ಪ್ಯಾರಾಮೀಟರ್ ಅನ್ನು 4 ರಲ್ಲಿ ಬಳಸಲಾಗಿದೆ.
ದಾಳಿಯನ್ನು ನಡೆಸುವ ಸಾಧ್ಯತೆಯನ್ನು ಪ್ರದರ್ಶಿಸಲು, ಸಂಶೋಧಕರು ಚೆಕ್‌ಸಮ್‌ಗಳನ್ನು ಪರಿಶೀಲಿಸದ ಪ್ಯಾಕೇಜ್‌ಗಳ ಡೊಮೇನ್ ಅನ್ನು ಖರೀದಿಸಿದರು ಮತ್ತು ಅದರ ಮೇಲೆ ಕೋಡ್ ಮತ್ತು ಮಾರ್ಪಡಿಸಿದ ಅನುಸ್ಥಾಪನಾ ಸ್ಕ್ರಿಪ್ಟ್‌ನೊಂದಿಗೆ ಆರ್ಕೈವ್ ಅನ್ನು ಇರಿಸಿದರು. ನಿಜವಾದ ವಿಷಯದ ಬದಲಿಗೆ, ಮೂರನೇ ವ್ಯಕ್ತಿಯ ಕೋಡ್ ಅನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುವ ಬಗ್ಗೆ ಎಚ್ಚರಿಕೆ ಸಂದೇಶವನ್ನು ಸ್ಕ್ರಿಪ್ಟ್‌ಗೆ ಸೇರಿಸಲಾಗಿದೆ. ಪ್ಯಾಕೇಜ್ ಅನ್ನು ಸ್ಥಾಪಿಸುವ ಪ್ರಯತ್ನವು ಬದಲಿ ಫೈಲ್‌ಗಳ ಡೌನ್‌ಲೋಡ್‌ಗೆ ಕಾರಣವಾಯಿತು ಮತ್ತು ಚೆಕ್‌ಸಮ್ ಅನ್ನು ಪರಿಶೀಲಿಸದ ಕಾರಣ, ಪ್ರಯೋಗಕಾರರು ಸೇರಿಸಿದ ಕೋಡ್‌ನ ಯಶಸ್ವಿ ಸ್ಥಾಪನೆ ಮತ್ತು ಉಡಾವಣೆಗೆ ಕಾರಣವಾಯಿತು.
ಕೋಡ್ ಹೊಂದಿರುವ ಡೊಮೇನ್‌ಗಳ ಅವಧಿ ಮುಗಿದಿರುವ ಪ್ಯಾಕೇಜ್‌ಗಳು:
- ಫೈರ್ಫಾಕ್ಸ್-ನಿರ್ವಾತ
- gvim-ಚೆಕ್‌ಪಾತ್
- ವೈನ್-ಪಿಕ್ಸಿ2
- xcursor-theme-wii
- ಲೈಟ್ಝೋನ್-ಮುಕ್ತ
- scalafmt-ಸ್ಥಳೀಯ
- ಕೂಲ್ಕ್-ಪ್ರೊ-ಬಿನ್
- ಜಿಮೆಡಿಟ್-ಬಿನ್
- ಮೆಸೆನ್-ಎಸ್-ಬಿನ್
- ಪೊಲಿ-ಬಿ-ಹೋಗಿದೆ
- ಎರ್ವಿಜ್
- ಟಾಟ್ಡ್
- kygekteampmmp4
- ಸೇವಾಗೋಡೆ-ಜಿಟ್
- ತಾಯಿತ-ಬಿನ್
- ಎಥರ್ಡಂಪ್
- ಚಿಕ್ಕನಿದ್ರೆ-ಬಿನ್
- iscfpc
- iscfpc-aarch64
- iscfpcx
ಮೂಲ: opennet.ru