Rust repository crates.io मध्ये दुर्भावनापूर्ण पॅकेज rustdecimal आढळले

रस्ट लँग्वेजच्या डेव्हलपर्सनी चेतावणी दिली आहे की crates.io रेपॉजिटरीमध्ये दुर्भावनापूर्ण कोड असलेले एक रस्टडेसिमल पॅकेज ओळखले गेले आहे. पॅकेज कायदेशीर rust_decimal पॅकेजवर आधारित होते आणि नावात समानता वापरून (टाइपस्क्वाटिंग) वितरीत केले गेले होते या अपेक्षेने की वापरकर्त्याला सूचीमधून मॉड्यूल शोधताना किंवा निवडताना अंडरस्कोरची अनुपस्थिती लक्षात येणार नाही.

हे लक्षात घेण्यासारखे आहे की ही रणनीती यशस्वी ठरली आणि डाउनलोडच्या संख्येच्या बाबतीत, काल्पनिक पॅकेज मूळपेक्षा थोडेसे मागे होते (111 चे 1.23.1 हजार डाउनलोड आणि मूळ गंज_दशांश 113 पैकी 1.23.1 हजार) . त्याच वेळी, बहुतेक डाउनलोड निरुपद्रवी क्लोनचे होते ज्यात दुर्भावनापूर्ण कोड नव्हता. दुर्भावनापूर्ण बदल 25 मार्च रोजी आवृत्ती rustdecimal 1.23.5 मध्ये जोडले गेले होते, जे समस्या ओळखण्यापूर्वी सुमारे 500 वेळा डाउनलोड केले गेले होते आणि पॅकेज ब्लॉक केले गेले होते (असे गृहीत धरले जाते की दुर्भावनापूर्ण आवृत्तीचे बहुतेक डाउनलोड बॉट्सद्वारे केले गेले होते) आणि रेपॉजिटरीमध्ये उपस्थित असलेल्या इतर पॅकेजेसवर अवलंबित्व म्हणून वापरले जात नाही (हे शक्य आहे की दुर्भावनायुक्त पॅकेज अंतिम ऍप्लिकेशन्सवर अवलंबून होते).

दुर्भावनापूर्ण बदलांमध्ये नवीन फंक्शन, डेसिमल::न्यू जोडणे समाविष्ट होते, ज्याच्या अंमलबजावणीमध्ये बाह्य सर्व्हरवरून डाउनलोड करण्यासाठी आणि एक्झिक्युटेबल फाइल लॉन्च करण्यासाठी अस्पष्ट कोड समाविष्ट आहे. फंक्शनला कॉल करताना, GITLAB_CI पर्यावरण व्हेरिएबल तपासले गेले आणि सेट केले असल्यास, फाइल /tmp/git-updater.bin बाह्य सर्व्हरवरून डाउनलोड केली गेली. डाउनलोड करण्यायोग्य दुर्भावनापूर्ण हँडलरने Linux आणि macOS वर कार्य समर्थित केले (विंडोज प्लॅटफॉर्म समर्थित नाही).

असे गृहीत धरले होते की सतत एकीकरण प्रणालीवरील चाचणी दरम्यान दुर्भावनापूर्ण कार्य कार्यान्वित केले जाईल. rustdecimal अवरोधित केल्यानंतर, crates.io प्रशासकांनी अशाच दुर्भावनापूर्ण इन्सर्टसाठी रेपॉजिटरीमधील सामग्रीचे विश्लेषण केले, परंतु इतर पॅकेजेसमधील समस्या ओळखल्या नाहीत. GitLab प्लॅटफॉर्मवर आधारित सतत एकीकरण प्रणालीच्या मालकांना त्यांच्या सर्व्हरवर चाचणी केलेले प्रकल्प त्यांच्या अवलंबित्वांमध्ये रस्टडेसिमल पॅकेज वापरत नाहीत याची खात्री करण्याचा सल्ला दिला जातो.

स्त्रोत: opennet.ru