വിശ്രമ-ക്ലയന്റിലും മറ്റ് 10 റൂബി പാക്കേജുകളിലും ക്ഷുദ്രകരമായ കോഡ് കണ്ടെത്തി

ഒരു ജനപ്രിയ രത്ന പാക്കേജിൽ വിശ്രമ-ക്ലയൻ്റ്, മൊത്തം 113 ദശലക്ഷം ഡൗൺലോഡുകളോടെ, തിരിച്ചറിഞ്ഞു എക്സിക്യൂട്ടബിൾ കമാൻഡുകൾ ഡൗൺലോഡ് ചെയ്യുകയും ബാഹ്യ ഹോസ്റ്റിലേക്ക് വിവരങ്ങൾ അയയ്ക്കുകയും ചെയ്യുന്ന ക്ഷുദ്ര കോഡിൻ്റെ (CVE-2019-15224) പകരക്കാരൻ. വഴിയാണ് ആക്രമണം നടത്തിയത് വിട്ടുവീഴ്ച rubygems.org റിപ്പോസിറ്ററിയിലെ ഡെവലപ്പർ അക്കൗണ്ട് റെസ്റ്റ്-ക്ലയൻ്റ്, അതിനുശേഷം ആക്രമണകാരികൾ 13-14 റിലീസുകൾ ഓഗസ്റ്റ് 1.6.10, 1.6.13 തീയതികളിൽ പ്രസിദ്ധീകരിച്ചു, അതിൽ ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ ഉൾപ്പെടുന്നു. ക്ഷുദ്രകരമായ പതിപ്പുകൾ തടയുന്നതിന് മുമ്പ്, ആയിരത്തോളം ഉപയോക്താക്കൾക്ക് അവ ഡൗൺലോഡ് ചെയ്യാൻ കഴിഞ്ഞു (ആക്രമികൾ ശ്രദ്ധ ആകർഷിക്കാതിരിക്കാൻ പഴയ പതിപ്പുകളിലേക്ക് അപ്‌ഡേറ്റുകൾ പുറത്തിറക്കി).

ക്ഷുദ്രകരമായ മാറ്റം ക്ലാസിലെ "#ആധികാരികത" രീതിയെ മറികടക്കുന്നു
ഐഡൻ്റിറ്റി, അതിന് ശേഷം ഓരോ മെത്തേഡ് കോളും ആധികാരികത ഉറപ്പാക്കാനുള്ള ശ്രമത്തിനിടെ അയച്ച ഇമെയിലും പാസ്‌വേഡും ആക്രമണകാരികളുടെ ഹോസ്റ്റിലേക്ക് അയയ്ക്കുന്നു. ഈ രീതിയിൽ, ഐഡൻ്റിറ്റി ക്ലാസ് ഉപയോഗിക്കുന്ന സേവന ഉപയോക്താക്കളുടെ ലോഗിൻ പാരാമീറ്ററുകൾ തടസ്സപ്പെടുത്തുകയും വിശ്രമ-ക്ലയൻ്റ് ലൈബ്രറിയുടെ ദുർബലമായ പതിപ്പ് ഇൻസ്റ്റാൾ ചെയ്യുകയും ചെയ്യുന്നു. ഫീച്ചർ ചെയ്തു ast (64 ദശലക്ഷം ഡൗൺലോഡുകൾ), ഔത്ത് (32 ദശലക്ഷം), ഫാസ്റ്റ്‌ലെയ്ൻ (18 ദശലക്ഷം), ക്യൂബെക്ലയൻ്റ് (3.7 ദശലക്ഷം) എന്നിവയുൾപ്പെടെ നിരവധി ജനപ്രിയ റൂബി പാക്കേജുകളിലെ ആശ്രിതത്വമായി.

കൂടാതെ, കോഡിലേക്ക് ഒരു ബാക്ക്‌ഡോർ ചേർത്തിട്ടുണ്ട്, ഇത് എവൽ ഫംഗ്‌ഷൻ വഴി അനിയന്ത്രിതമായ റൂബി കോഡ് നടപ്പിലാക്കാൻ അനുവദിക്കുന്നു. ആക്രമണകാരിയുടെ കീ സാക്ഷ്യപ്പെടുത്തിയ കുക്കി വഴിയാണ് കോഡ് കൈമാറുന്നത്. ഒരു ബാഹ്യ ഹോസ്റ്റിൽ ക്ഷുദ്രകരമായ പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യുന്നതിനെക്കുറിച്ച് ആക്രമണകാരികളെ അറിയിക്കുന്നതിന്, ഇരയുടെ സിസ്റ്റത്തിൻ്റെ URL, DBMS, ക്ലൗഡ് സേവനങ്ങൾ എന്നിവയ്‌ക്കായുള്ള സംരക്ഷിച്ച പാസ്‌വേഡുകൾ പോലെയുള്ള പരിസ്ഥിതിയെക്കുറിച്ചുള്ള വിവരങ്ങളുടെ ഒരു തിരഞ്ഞെടുപ്പും അയയ്ക്കുന്നു. ക്രിപ്‌റ്റോകറൻസി മൈനിംഗിനായി സ്‌ക്രിപ്റ്റുകൾ ഡൗൺലോഡ് ചെയ്യാനുള്ള ശ്രമങ്ങൾ മുകളിൽ സൂചിപ്പിച്ച ക്ഷുദ്ര കോഡ് ഉപയോഗിച്ച് റെക്കോർഡുചെയ്‌തു.

ക്ഷുദ്ര കോഡ് പഠിച്ച ശേഷം അത് വെളിപ്പെടുത്തിസമാനമായ മാറ്റങ്ങൾ ഉണ്ടെന്ന് 10 പാക്കേജുകൾ റൂബി ജെംസിൽ, പിടിച്ചെടുത്തിട്ടില്ല, എന്നാൽ സമാനമായ പേരുകളുള്ള മറ്റ് ജനപ്രിയ ലൈബ്രറികളെ അടിസ്ഥാനമാക്കി ആക്രമണകാരികൾ പ്രത്യേകം തയ്യാറാക്കിയതാണ്, അതിൽ ഡാഷിന് പകരം അണ്ടർ സ്‌കോർ അല്ലെങ്കിൽ തിരിച്ചും (ഉദാഹരണത്തിന്, അടിസ്ഥാനമാക്കി ക്രോൺ-പാഴ്സർ ഒരു ക്ഷുദ്ര പാക്കേജ് cron_parser സൃഷ്ടിച്ചു, അതിനെ അടിസ്ഥാനമാക്കി ഡോഗ്_കോയിൻ ക്ഷുദ്ര ഡോഗ്-കോയിൻ പാക്കേജ്). പ്രശ്ന പാക്കേജുകൾ:

• നാണയം_അടിസ്ഥാനം: 4.2.2, 4.2.1
• ബ്ലോക്ക്ചെയിൻ_വാലറ്റ്: 0.0.6, 0.0.7
• ആകർഷണീയമായ ബോട്ട്: 1.18.0
• നായ-നാണയം: 1.0.2
• capistrano-നിറങ്ങൾ: 0.5.5
• ബിറ്റ്കോയിൻ_വാനിറ്റി: 4.3.3
• ലിറ്റ_നാണയം: 0.0.3
• ഉടൻ വരുന്നു: 0.2.8
• omniauth_amazon: 1.0.1
• ക്രോൺ_പാർസർ: 1.0.12, 1.0.13, 0.1.4

ഈ ലിസ്റ്റിൽ നിന്നുള്ള ആദ്യത്തെ ക്ഷുദ്രകരമായ പാക്കേജ് മെയ് 12-ന് പോസ്റ്റുചെയ്‌തു, എന്നാൽ അവയിൽ മിക്കതും ജൂലൈയിൽ പ്രത്യക്ഷപ്പെട്ടു. മൊത്തത്തിൽ, ഈ പാക്കേജുകൾ ഏകദേശം 2500 തവണ ഡൗൺലോഡ് ചെയ്യപ്പെട്ടു.

അവലംബം: opennet.ru