AUR भण्डारमा प्याकेजहरूको नियन्त्रण प्राप्त गर्न प्रयोग गर्नुहोस्

AUR (Arch User Repository) भण्डारमा प्याकेजहरूको नियन्त्रण कब्जा गर्ने प्रयोगको नतिजा, Arch Linux वितरणको मुख्य भण्डारहरूमा समावेश नगरी तिनीहरूको प्याकेजहरूको तेस्रो-पक्ष विकासकर्ताहरूद्वारा वितरणको लागि प्रयोग गरिएको, प्रकाशित गरिएको छ। अनुसन्धानकर्ताहरूले PKGBUILD र SRCINFO फाइलहरूमा देखा पर्ने डोमेन दर्ताको म्याद सकिएको जाँच गर्ने स्क्रिप्ट तयार गरे। यो स्क्रिप्ट चलाउँदा, 14 म्याद समाप्त डोमेनहरू पहिचान गरियो, फाइलहरू डाउनलोड गर्नका लागि 20 प्याकेजहरूमा प्रयोग गरियो।

डाउनलोड गरिएको सामग्री AUR मा पहिले नै लोड गरिएको चेकसम विरुद्ध जाँच गरिएको हुनाले प्याकेजलाई स्पूफ गर्न केवल डोमेन दर्ता गर्नु पर्याप्त छैन। यद्यपि, AUR मा प्याकेजहरूको लगभग 35% को मर्मतकर्ताहरूले चेकसम प्रमाणिकरण छोड्न PKGBUILD फाइलमा "SKIP" प्यारामिटर प्रयोग गर्छन् (उदाहरणका लागि, sha256sums=('SKIP') निर्दिष्ट गर्नुहोस्)। म्याद सकिएको डोमेन भएका २० प्याकेटहरू मध्ये, SKIP प्यारामिटर ४ मा प्रयोग गरिएको थियो।

आक्रमण गर्ने सम्भाव्यता देखाउनको लागि, अन्वेषकहरूले चेकसमहरू जाँच नगर्ने प्याकेजहरू मध्ये एउटाको डोमेन किनेका थिए र यसमा कोड र परिमार्जित स्थापना स्क्रिप्टको साथ एउटा अभिलेख राखेका थिए। वास्तविक सामग्रीको सट्टा, स्क्रिप्टमा तेस्रो-पक्ष कोडको कार्यान्वयनको बारेमा चेतावनी सन्देश थपिएको थियो। प्याकेज स्थापना गर्ने प्रयासले प्रतिस्थापित फाइलहरू डाउनलोड गर्न निम्त्यायो र, चेकसम जाँच नगरिएकोले, प्रयोगकर्ताहरूद्वारा थपिएको कोडको सफल स्थापना र प्रक्षेपणमा।

प्याकेजहरू जसको कोड सहितको डोमेन म्याद सकिएको थियो:

• फायरफक्स - भ्याकुम
• gvim-checkpath
• wine-pixi2
• xcursor-theme-wii
• लाइटजोन-मुक्त
• scalafmt-नेटिभ
• coolq-pro-bin
• gmedit-bin
• mesen-s-bin
• पोली-बी-गयो
• erwiz
• totd
• kygekteampmmp4
• servicewall-git
• amuletml-bin
• etherdump
• झ्याप-बिन
• iscfpc
• iscfpc-aarch64
• iscfpcx

स्रोत: opennet.ru