Откриен е злонамерен пакет 'рѓа децимална во складиштето Rust crates.io

Развивачите на јазикот Rust предупредија дека во складиштето на crates.io е идентификуван пакет од рустдецимален кој содржи злонамерен код. Пакетот се базираше на легитимниот пакет rust_decimal и беше дистрибуиран користејќи сличност во името (typesquatting) со очекување дека корисникот нема да забележи отсуство на долна црта при пребарување или избирање на модул од список.

Вреди да се одбележи дека оваа стратегија се покажа како успешна и во однос на бројот на преземања, фиктивниот пакет беше само малку зад оригиналот (~111 илјади преземања на rustdecimal 1.23.1 и 113 илјади од оригиналниот rust_decimal 1.23.1) . Во исто време, поголемиот дел од преземањата беа од безопасен клон кој не содржеше злонамерен код. Злонамерните промени беа додадени на 25 март во верзијата rustdecimal 1.23.5, која беше преземена околу 500 пати пред да се идентификува проблемот и да се блокира пакетот (се претпоставува дека повеќето преземања на злонамерната верзија се направени од ботови) и не се користеше како зависност од други пакети присутни во складиштето ( можно е злонамерниот пакет да бил зависност од крајните апликации).

Злонамерните промени се состоеја од додавање на нова функција, Децимална::ново, чија имплементација содржеше заматен код за преземање од надворешен сервер и стартување на извршна датотека. При повикување на функцијата, променливата на околината GITLAB_CI беше проверена, а доколку е поставена, датотеката /tmp/git-updater.bin беше преземена од надворешниот сервер. Злонамерниот управувач за преземање поддржуваше работа на Linux и macOS (платформата Windows не беше поддржана).

Се претпоставуваше дека злонамерната функција ќе се изврши при тестирање на системи за континуирана интеграција. По блокирањето на rustdecimal, администраторите на crates.io ја анализираа содржината на складиштето за слични малициозни инсерти, но не идентификуваа проблеми во другите пакети. Сопствениците на системи за континуирана интеграција базирани на платформата GitLab се советуваат да се погрижат проектите тестирани на нивните сервери да не го користат рустдецималниот пакет во нивните зависности.

Извор: opennet.ru