ກວດພົບລະຫັດທີ່ເປັນອັນຕະລາຍຢູ່ໃນລູກຄ້າສ່ວນທີ່ເຫຼືອ ແລະ 10 ແພັກເກດ Ruby ອື່ນໆ

ໃນຊຸດແກ້ວປະເສີດທີ່ນິຍົມ ລູກຄ້າພັກຜ່ອນ, ມີຈໍານວນທັງຫມົດ 113 ລ້ານດາວໂຫລດ, ກໍານົດ ການທົດແທນລະຫັດອັນຕະລາຍ (CVE-2019-15224) ທີ່ດາວໂຫຼດຄຳສັ່ງທີ່ປະຕິບັດໄດ້ ແລະສົ່ງຂໍ້ມູນໄປຍັງໂຮສພາຍນອກ. ການ​ໂຈມ​ຕີ​ໄດ້​ດໍາ​ເນີນ​ການ​ໂດຍ​ຜ່ານ​ການ​ ປະນີປະນອມ developer account rest-client ໃນ rubygems.org repository, ຫຼັງຈາກນັ້ນຜູ້ໂຈມຕີໄດ້ເຜີຍແຜ່ການປ່ອຍ 13-14 ໃນວັນທີ 1.6.10 ແລະ 1.6.13 ສິງຫາ, ເຊິ່ງລວມມີການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍ. ກ່ອນທີ່ສະບັບທີ່ເປັນອັນຕະລາຍຖືກສະກັດ, ຜູ້ໃຊ້ປະມານຫນຶ່ງພັນຄົນສາມາດດາວໂຫລດພວກມັນໄດ້ (ຜູ້ໂຈມຕີໄດ້ປ່ອຍການອັບເດດໃຫ້ກັບຮຸ່ນເກົ່າເພື່ອບໍ່ໃຫ້ຄວາມສົນໃຈ).

ການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍ overrides ວິທີການ "#authenticate" ໃນຫ້ອງຮຽນ
ການລະບຸຕົວຕົນ, ຫຼັງຈາກນັ້ນແຕ່ລະວິທີການໂທຫາສົ່ງຜົນໃຫ້ອີເມລ໌ແລະລະຫັດຜ່ານທີ່ຖືກສົ່ງໄປໃນລະຫວ່າງການພະຍາຍາມກວດສອບຄວາມຖືກຕ້ອງຖືກສົ່ງໄປຫາເຈົ້າພາບຂອງຜູ້ໂຈມຕີ. ດ້ວຍວິທີນີ້, ຕົວກໍານົດການເຂົ້າສູ່ລະບົບຂອງຜູ້ໃຊ້ບໍລິການທີ່ໃຊ້ຊັ້ນ Identity ແລະການຕິດຕັ້ງຫ້ອງສະຫມຸດລູກຄ້າທີ່ມີຄວາມສ່ຽງແມ່ນຖືກຂັດຂວາງ, ເຊິ່ງ. ທີ່ໂດດເດັ່ນ ເປັນການເພິ່ງພາອາໄສໃນແພັກເກັດ Ruby ທີ່ນິຍົມຫຼາຍ, ລວມທັງ ast (64 ລ້ານດາວໂຫຼດ), oauth (32 ລ້ານ), fastlane (18 ລ້ານ), ແລະ kubeclient (3.7 ລ້ານ).

ນອກຈາກນັ້ນ, backdoor ໄດ້ຖືກເພີ່ມເຂົ້າໃນລະຫັດ, ອະນຸຍາດໃຫ້ລະຫັດ Ruby arbitrary ດໍາເນີນການໂດຍຜ່ານຟັງຊັນ eval. ລະຫັດຖືກສົ່ງຜ່ານ Cookie ທີ່ໄດ້ຮັບການຮັບຮອງໂດຍກະແຈຂອງຜູ້ໂຈມຕີ. ເພື່ອແຈ້ງໃຫ້ຜູ້ໂຈມຕີກ່ຽວກັບການຕິດຕັ້ງແພັກເກັດທີ່ເປັນອັນຕະລາຍຢູ່ໃນໂຮດພາຍນອກ, URL ຂອງລະບົບຂອງຜູ້ຖືກເຄາະຮ້າຍແລະການຄັດເລືອກຂໍ້ມູນກ່ຽວກັບສະພາບແວດລ້ອມ, ເຊັ່ນລະຫັດຜ່ານທີ່ບັນທຶກໄວ້ສໍາລັບ DBMS ແລະບໍລິການຄລາວ, ຖືກສົ່ງ. ຄວາມພະຍາຍາມທີ່ຈະດາວໂຫຼດສະຄຣິບສຳລັບການຂຸດຄົ້ນ cryptocurrency ຖືກບັນທຶກໂດຍໃຊ້ລະຫັດອັນຕະລາຍທີ່ກ່າວມາຂ້າງເທິງ.

ຫຼັງຈາກການສຶກສາລະຫັດອັນຕະລາຍມັນແມ່ນ ເປີດເຜີຍການປ່ຽນແປງທີ່ຄ້າຍຄືກັນແມ່ນມີຢູ່ໃນ 10 ຊຸດ ໃນ Ruby Gems, ເຊິ່ງບໍ່ໄດ້ຖືກຈັບ, ແຕ່ໄດ້ຖືກກະກຽມໂດຍສະເພາະໂດຍຜູ້ໂຈມຕີໂດຍອີງໃສ່ຫ້ອງສະຫມຸດທີ່ນິຍົມອື່ນໆທີ່ມີຊື່ຄ້າຍຄືກັນ, ເຊິ່ງ dash ໄດ້ຖືກແທນທີ່ດ້ວຍ underscore ຫຼືໃນທາງກັບກັນ (ຕົວຢ່າງ, ອີງຕາມການ cron-parser ແພກເກດທີ່ເປັນອັນຕະລາຍ cron_parser ຖືກສ້າງຂຶ້ນ, ແລະອີງໃສ່ doge_coin doge-coin malicious package). ແພັກເກດບັນຫາ:

• coin_base: 4.2.2, 4.2.1
• blockchain_wallet: 0.0.6, 0.0.7
• awesome-bot: 1.18.0
• doge-coin: 1.0.2
• capistrano-ສີ: 0.5.5
• bitcoin_vanity: 4.3.3
• lita_coin: 0.0.3
• ໄວໆນີ້: 0.2.8
• omniauth_amazon: 1.0.1
• cron_parser: 1.0.12, 1.0.13, 0.1.4

ຊຸດທີ່ເປັນອັນຕະລາຍທໍາອິດຈາກບັນຊີລາຍຊື່ນີ້ໄດ້ຖືກຈັດພີມມາໃນວັນທີ 12 ເດືອນພຶດສະພາ, ແຕ່ສ່ວນໃຫຍ່ຂອງພວກເຂົາປາກົດໃນເດືອນກໍລະກົດ. ໃນຈໍານວນທັງຫມົດ, ຊຸດເຫຼົ່ານີ້ໄດ້ຖືກດາວໂຫຼດປະມານ 2500 ເທື່ອ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru