रुबी पॅकेजमध्ये दुर्भावनापूर्ण कोडचे प्रतिस्थापन Strong_password आढळले

В प्रकाशित 25 जून रोजी रत्न पॅकेज Strong_password 0.7 चे प्रकाशन प्रकट दुर्भावनापूर्ण बदल (सीव्हीई- 2019-13354), Pastebin सेवेवर होस्ट केलेला, अज्ञात आक्रमणकर्त्याद्वारे नियंत्रित बाह्य कोड डाउनलोड करणे आणि अंमलात आणणे. प्रकल्पाच्या डाउनलोडची एकूण संख्या 247 हजार आहे आणि आवृत्ती 0.6 सुमारे 38 हजार आहे. दुर्भावनापूर्ण आवृत्तीसाठी, डाउनलोडची संख्या 537 म्हणून सूचीबद्ध केली आहे, परंतु हे कितपत अचूक आहे हे स्पष्ट नाही, कारण हे रिलीझ रुबी जेम्समधून आधीच काढले गेले आहे.

Strong_password लायब्ररी नोंदणी दरम्यान वापरकर्त्याने निर्दिष्ट केलेल्या पासवर्डची ताकद तपासण्यासाठी साधने प्रदान करते.
यापैकी स्ट्राँग_पासवर्ड पॅकेजेस थिंक_फील_डो_इंजिन (६५ हजार डाउनलोड), थिंक_फील_डो_डॅशबोर्ड (१५ हजार डाउनलोड) आणि
सुपरहोस्टिंग (1.5 हजार). हे नोंदवले गेले आहे की दुर्भावनापूर्ण बदल एका अज्ञात व्यक्तीने जोडला होता ज्याने लेखकाकडून भांडाराचे नियंत्रण जप्त केले होते.

दुर्भावनापूर्ण कोड फक्त RubyGems.org वर जोडला गेला होता, Git भांडार प्रकल्प प्रभावित झाला नाही. त्याच्या प्रोजेक्ट्समध्ये Strong_password वापरणाऱ्या एका डेव्हलपरने रिपॉझिटरीमध्ये शेवटचा बदल 6 महिन्यांपूर्वी का जोडला गेला हे शोधून काढण्यास सुरुवात केल्यावर ही समस्या ओळखली गेली, परंतु RubyGems वर नवीन प्रकाशन प्रकाशित झाले. देखरेख करणारा, ज्यांच्याबद्दल मी काहीही ऐकले नाही त्यापूर्वी कोणीही ऐकले नव्हते.

आक्रमणकर्ता Strong_password ची समस्याप्रधान आवृत्ती वापरून सर्व्हरवर अनियंत्रित कोड कार्यान्वित करू शकतो. जेव्हा पेस्टेबिनमध्ये समस्या आढळली तेव्हा, क्लायंटद्वारे कुकी "__id" द्वारे पास केलेला कोणताही कोड चालविण्यासाठी स्क्रिप्ट लोड केली गेली आणि Base64 पद्धत वापरून एन्कोड केली गेली. दुर्भावनापूर्ण कोडने होस्टचे पॅरामीटर्स देखील पाठवले ज्यावर दुर्भावनापूर्ण Strong_password प्रकार आक्रमणकर्त्याद्वारे नियंत्रित सर्व्हरवर स्थापित केला गेला होता.

स्त्रोत: opennet.ru