AUR रेपॉजिटरीमधील पॅकेजेसवर नियंत्रण मिळविण्यासाठी प्रयोग करा

AUR (आर्क युजर रिपॉजिटरी) रेपॉजिटरीमधील पॅकेजेसवर नियंत्रण मिळवण्याच्या प्रयोगाचे परिणाम, जे Arch Linux वितरणाच्या मुख्य भांडारांमध्ये समाविष्ट न करता त्यांच्या पॅकेजच्या तृतीय-पक्ष विकासकांकडून वितरणासाठी वापरले जाते, प्रकाशित केले गेले आहेत. संशोधकांनी एक स्क्रिप्ट तयार केली जी PKGBUILD आणि SRCINFO फायलींमध्ये दिसणार्‍या डोमेनची नोंदणी कालबाह्य झाल्याची तपासणी करते. ही स्क्रिप्ट चालवताना 14 फाइल अपलोड पॅकेजेसमध्ये वापरलेले 20 कालबाह्य झालेले डोमेन उघड झाले.

पॅकेजची फसवणूक करण्यासाठी फक्त डोमेनची नोंदणी करणे पुरेसे नाही, कारण डाउनलोड केलेली सामग्री आधीच AUR मध्ये अपलोड केलेल्या चेकसमच्या विरूद्ध तपासली जाते. तथापि, AUR मधील सुमारे 35% पॅकेजेस चेकसम चेक वगळण्यासाठी PKGBUILD फाइलमधील "SKIP" पॅरामीटर वापरताना दिसतात (उदाहरणार्थ, sha256sums=('SKIP')) निर्दिष्ट करा. कालबाह्य डोमेन असलेल्या 20 पॅकेजेसपैकी, SKIP पॅरामीटर 4 मध्ये वापरला गेला.

हल्ला होण्याची शक्यता दर्शविण्यासाठी, संशोधकांनी चेकसम तपासत नसलेल्या पॅकेजपैकी एकाचे डोमेन विकत घेतले आणि त्यावर कोड आणि सुधारित इंस्टॉलेशन स्क्रिप्टसह संग्रहण ठेवले. वास्तविक सामग्रीऐवजी, स्क्रिप्टमध्ये तृतीय-पक्ष कोडच्या अंमलबजावणीबद्दल चेतावणी जोडली गेली आहे. पॅकेज स्थापित करण्याच्या प्रयत्नामुळे फसवणूक केलेल्या फायली डाउनलोड केल्या गेल्या आणि, चेकसम तपासले गेले नसल्यामुळे, प्रयोगकर्त्यांनी जोडलेल्या कोडची यशस्वी स्थापना आणि लॉन्चिंग.

कालबाह्य डोमेन असलेली पॅकेजेस:

• फायरफॉक्स-व्हॅक्यूम
• gvim-चेकपाथ
• wine-pixi2
• xcursor-theme-wii
• लाईटझोन मुक्त
• scalafmt-नेटिव्ह
• coolq-pro-bin
• gmedit-bin
• मेसेन-एस-बिन
• पोली-बी-गेले
• erwiz
• टॉड
• kygekteampmmp4
• servicewall-git
• amuletml-bin
• इथरडंप
• डुलकी
• iscfpc
• iscfpc-aarch64
• iscfpcx

स्त्रोत: opennet.ru