Ruby ပက်ကေ့ခ်ျတွင် အန္တရာယ်ရှိသောကုဒ်ကို Strong_password ဖြင့် အစားထိုးခြင်းကို တွေ့ရှိခဲ့သည်။

В ထုတ်ဝေခဲ့သည် ဇွန်လ 25 ရက်နေ့တွင် ကျောက်မျက် ပက်ကေ့ချ် Strong_password 0.7 ကို ထုတ်ပြန်ခဲ့သည်။ ထုတ်ဖော်ခဲ့သည်။ အန္တရာယ်ရှိသော ပြောင်းလဲမှု (CVE-2019-13354Pastebin ဝန်ဆောင်မှုတွင် လက်ခံထားသော အမည်မသိတိုက်ခိုက်သူမှ ထိန်းချုပ်ထားသော ပြင်ပကုဒ်ကို ဒေါင်းလုဒ်လုပ်ခြင်းနှင့် လုပ်ဆောင်ခြင်း ပရောဂျက်၏ စုစုပေါင်းဒေါင်းလုဒ်အရေအတွက်မှာ ၂၄၇ဝဝဝ ဖြစ်ပြီး ဗားရှင်း 247 မှာ ၃၈ဝဝဝ ခန့်ဖြစ်သည်။ အန္တရာယ်ရှိသော ဗားရှင်းအတွက်၊ ဒေါင်းလုဒ်အရေအတွက် 0.6 အဖြစ် စာရင်းသွင်းထားသော်လည်း ဤထွက်ရှိမှုကို Ruby Gems မှ ဖယ်ရှားထားပြီးဖြစ်သောကြောင့် ၎င်းသည် မည်မျှတိကျကြောင်း ရှင်းရှင်းလင်းလင်းမသိရသေးပါ။

Strong_password စာကြည့်တိုက်သည် မှတ်ပုံတင်စဉ်အတွင်း သုံးစွဲသူမှ သတ်မှတ်ထားသော စကားဝှက်၏ အစွမ်းသတ္တိကို စစ်ဆေးရန်အတွက် ကိရိယာများကို ပံ့ပိုးပေးပါသည်။
အနက် Strong_password ပက်ကေ့ဂျ်များကို အသုံးပြု၍ think_feel_do_engine (ဒေါင်းလုဒ် ၆၅ဝဝဝ)၊ think_feel_do_dashboard (ဒေါင်းလုဒ် ၁၅ဝဝဝ) နှင့်
superhosting (၁.၅ဝဝ)။ စာရေးဆရာထံမှ သိုလှောင်ခန်းကို သိမ်းပိုက်ထားသည့် အမည်မသိသူတစ်ဦးမှ မလိုလားအပ်သော အပြောင်းအလဲကို ထည့်သွင်းထားကြောင်း မှတ်သားရပါသည်။

အန္တရာယ်ရှိသောကုဒ်ကို RubyGems.org တွင်သာ ထည့်သွင်းခဲ့သည်၊ Git repository စီမံကိန်းကို မထိခိုက်ပါဘူး။ ၎င်း၏ပရောဂျက်များတွင် Strong_password ကိုအသုံးပြုသည့် developer တစ်ဦးက လွန်ခဲ့သည့် 6 လကျော်က သိုလှောင်ခန်းသို့ နောက်ဆုံးပြောင်းလဲမှုကို အဘယ်ကြောင့်ထည့်သွင်းခဲ့သည်ကို စတင်ရှာဖွေတွေ့ရှိပြီးနောက် ထုတ်ဝေမှုအသစ်သည် အသစ်တစ်ခုကိုယ်စားထုတ်ဝေသည့် RubyGems တွင် ထွက်ပေါ်လာခဲ့ပြီး၊ ဘာမှမကြားဘူးခင်က ဘယ်သူမှမကြားဘူးတဲ့ ထိန်းသိမ်းစောင့်ရှောက်သူ။

တိုက်ခိုက်သူသည် Strong_password ၏ ပြဿနာရှိသော ဗားရှင်းကို အသုံးပြု၍ ဆာဗာများတွင် မတရားကုဒ်ကို လုပ်ဆောင်နိုင်သည်။ Pastebin နှင့် ပြဿနာတစ်ခုကို ရှာတွေ့သောအခါ၊ Cookie "__id" မှတစ်ဆင့် သုံးစွဲသူမှပေးပို့သော မည်သည့်ကုဒ်ကိုမဆို လုပ်ဆောင်ရန် script တစ်ခုကို တင်ပြီး Base64 နည်းလမ်းကို အသုံးပြု၍ ကုဒ်လုပ်ထားသည်။ အန္တရာယ်ရှိသော ကုဒ်သည် တိုက်ခိုက်သူ ထိန်းချုပ်ထားသော ဆာဗာသို့ အန္တရာယ်ရှိသော Strong_password မူကွဲကို ထည့်သွင်းထားသည့် host ၏ ကန့်သတ်ဘောင်များကို ပေးပို့ပါသည်။

source: opennet.ru