റൂബി പാക്കേജിലേക്ക് ക്ഷുദ്ര കോഡിന്റെ പകരക്കാരൻ Strong_password കണ്ടെത്തി

В പ്രസിദ്ധീകരിച്ചത് ജൂൺ 25-ന് ജെം പാക്കേജ് Strong_password 0.7 റിലീസ് വെളിപ്പെടുത്തി ക്ഷുദ്രകരമായ മാറ്റം (CVE-2019-13354), പേസ്റ്റ്ബിൻ സേവനത്തിൽ ഹോസ്റ്റ് ചെയ്‌ത ഒരു അജ്ഞാത ആക്രമണകാരി നിയന്ത്രിത ബാഹ്യ കോഡ് ഡൗൺലോഡ് ചെയ്യുകയും എക്‌സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. പ്രോജക്റ്റിന്റെ മൊത്തം ഡൗൺലോഡുകളുടെ എണ്ണം 247 ആയിരം ആണ്, പതിപ്പ് 0.6 ഏകദേശം 38 ആയിരം ആണ്. ക്ഷുദ്രകരമായ പതിപ്പിനായി, ഡൗൺലോഡുകളുടെ എണ്ണം 537 ആയി ലിസ്റ്റുചെയ്തിരിക്കുന്നു, എന്നാൽ ഇത് എത്രത്തോളം കൃത്യമാണെന്ന് വ്യക്തമല്ല, ഈ റിലീസ് ഇതിനകം തന്നെ റൂബി ജെംസിൽ നിന്ന് നീക്കം ചെയ്‌തിരിക്കുന്നു.

രജിസ്ട്രേഷൻ സമയത്ത് ഉപയോക്താവ് വ്യക്തമാക്കിയ പാസ്‌വേഡിന്റെ ശക്തി പരിശോധിക്കുന്നതിനുള്ള ടൂളുകൾ Strong_password ലൈബ്രറി നൽകുന്നു.
അതിൽ Strong_password പാക്കേജുകൾ ഉപയോഗിച്ച് think_feel_do_engine (65 ആയിരം ഡൗൺലോഡുകൾ), think_feel_do_dashboard (15 ആയിരം ഡൗൺലോഡുകൾ) കൂടാതെ
സൂപ്പർഹോസ്റ്റിംഗ് (1.5 ആയിരം). രചയിതാവിൽ നിന്ന് റിപ്പോസിറ്ററിയുടെ നിയന്ത്രണം പിടിച്ചെടുത്ത ഒരു അജ്ഞാത വ്യക്തിയാണ് ക്ഷുദ്രകരമായ മാറ്റം ചേർത്തതെന്ന് ശ്രദ്ധിക്കപ്പെടുന്നു.

ക്ഷുദ്രകരമായ കോഡ് RubyGems.org-ൽ മാത്രമാണ് ചേർത്തത്, Git ശേഖരം പദ്ധതിയെ ബാധിച്ചിട്ടില്ല. തന്റെ പ്രോജക്റ്റുകളിൽ Strong_password ഉപയോഗിക്കുന്ന ഡവലപ്പർമാരിൽ ഒരാൾ, 6 മാസത്തിലേറെ മുമ്പ് ശേഖരണത്തിൽ അവസാന മാറ്റം ചേർത്തത് എന്തുകൊണ്ടാണെന്ന് മനസിലാക്കാൻ തുടങ്ങിയതിന് ശേഷമാണ് പ്രശ്നം തിരിച്ചറിഞ്ഞത്, എന്നാൽ ഒരു പുതിയ പതിപ്പിന് വേണ്ടി പ്രസിദ്ധീകരിച്ച RubyGems-ൽ ഒരു പുതിയ പതിപ്പ് പ്രത്യക്ഷപ്പെട്ടു. പരിപാലകൻ, മുമ്പ് ആരും കേട്ടിട്ടില്ലാത്ത ഞാൻ ഒന്നും കേട്ടില്ല.

ആക്രമണകാരിക്ക് Strong_password-ന്റെ പ്രശ്‌നകരമായ പതിപ്പ് ഉപയോഗിച്ച് സെർവറുകളിൽ അനിയന്ത്രിതമായ കോഡ് നടപ്പിലാക്കാൻ കഴിയും. Pastebin-ൽ ഒരു പ്രശ്നം കണ്ടെത്തിയപ്പോൾ, കുക്കി "__id" വഴി ക്ലയന്റ് പാസ്സാക്കിയ ഏത് കോഡും പ്രവർത്തിപ്പിക്കുന്നതിന് ഒരു സ്ക്രിപ്റ്റ് ലോഡ് ചെയ്യുകയും Base64 രീതി ഉപയോഗിച്ച് എൻകോഡ് ചെയ്യുകയും ചെയ്തു. ക്ഷുദ്രകരമായ കോഡ് ആക്രമണകാരി നിയന്ത്രിത സെർവറിലേക്ക് ക്ഷുദ്രകരമായ Strong_password വേരിയന്റ് ഇൻസ്റ്റാൾ ചെയ്തിരിക്കുന്ന ഹോസ്റ്റിന്റെ പാരാമീറ്ററുകളും അയച്ചു.

അവലംബം: opennet.ru