ການປ່ຽນລະຫັດອັນຕະລາຍເຂົ້າໄປໃນຊຸດ Ruby Strong_password ຖືກກວດພົບ

В ຈັດພີມມາ ວັນທີ 25 ມິຖຸນາປ່ອຍຊຸດແກ້ວປະເສີດ Strong_password 0.7 ເປີດເຜີຍ ການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍ (CVE-2019-13354), ການດາວໂຫຼດ ແລະປະຕິບັດລະຫັດພາຍນອກທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີທີ່ບໍ່ຮູ້ຈັກ, ໂຮດຢູ່ໃນການບໍລິການ Pastebin. ຈໍານວນການດາວໂຫຼດທັງຫມົດຂອງໂຄງການແມ່ນ 247 ພັນ, ແລະສະບັບ 0.6 ແມ່ນປະມານ 38 ພັນ. ສໍາລັບສະບັບ malicious, ຈໍານວນການດາວໂຫຼດແມ່ນ 537, ແຕ່ມັນບໍ່ຊັດເຈນວ່ານີ້ແມ່ນຖືກຕ້ອງ, ເນື່ອງຈາກການປ່ອຍນີ້ໄດ້ຖືກເອົາອອກແລ້ວຈາກ Ruby Gems.

ຫ້ອງສະຫມຸດ Strong_password ສະຫນອງເຄື່ອງມືສໍາລັບການກວດສອບຄວາມເຂັ້ມແຂງຂອງລະຫັດຜ່ານທີ່ລະບຸໄວ້ໂດຍຜູ້ໃຊ້ໃນລະຫວ່າງການລົງທະບຽນ.
ໃນບັນດາ ການນໍາໃຊ້ແພັກເກັດ Strong_password think_feel_do_engine (65 ພັນດາວໂຫຼດ), think_feel_do_dashboard (15 ພັນດາວໂຫຼດ) ແລະ
superhosting (1.5 ພັນ). ມັນໄດ້ຖືກສັງເກດເຫັນວ່າການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍໄດ້ຖືກເພີ່ມໂດຍບຸກຄົນທີ່ບໍ່ຮູ້ຈັກຜູ້ທີ່ຍຶດການຄວບຄຸມຂອງ repository ຈາກຜູ້ຂຽນ.

ລະຫັດທີ່ເປັນອັນຕະລາຍຖືກເພີ່ມໃສ່ RubyGems.org ເທົ່ານັ້ນ, Git repository ໂຄງການບໍ່ໄດ້ຮັບຜົນກະທົບ. ບັນຫາດັ່ງກ່າວໄດ້ຖືກກໍານົດຫຼັງຈາກຜູ້ພັດທະນາຫນຶ່ງ, ຜູ້ທີ່ໃຊ້ Strong_password ໃນໂຄງການຂອງລາວ, ໄດ້ເລີ່ມຕົ້ນທີ່ຈະຄິດວ່າເປັນຫຍັງການປ່ຽນແປງຄັ້ງສຸດທ້າຍໄດ້ຖືກເພີ່ມເຂົ້າໄປໃນ repository ຫຼາຍກວ່າ 6 ເດືອນກ່ອນຫນ້ານີ້, ແຕ່ວ່າການປ່ອຍໃຫມ່ໄດ້ປາກົດຢູ່ໃນ RubyGems, ຈັດພີມມາໃນນາມຂອງໃຫມ່. ຜູ້ຮັກສາ, ຜູ້ທີ່ບໍ່ມີໃຜໄດ້ຍິນກ່ອນທີ່ຂ້ອຍຈະບໍ່ໄດ້ຍິນຫຍັງ.

ຜູ້ໂຈມຕີສາມາດປະຕິບັດລະຫັດ arbitrary ໃນເຄື່ອງແມ່ຂ່າຍໂດຍໃຊ້ Strong_password ສະບັບທີ່ມີບັນຫາ. ເມື່ອກວດພົບບັນຫາກັບ Pastebin, script ໄດ້ຖືກໂຫລດເພື່ອແລ່ນລະຫັດໃດໆທີ່ລູກຄ້າຜ່ານ Cookie "__id" ແລະເຂົ້າລະຫັດໂດຍໃຊ້ວິທີ Base64. ລະຫັດທີ່ເປັນອັນຕະລາຍຍັງໄດ້ສົ່ງພາລາມິເຕີຂອງໂຮສທີ່ຕົວແປ Strong_password ທີ່ເປັນອັນຕະລາຍຖືກຕິດຕັ້ງໃສ່ເຊີບເວີທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru