Rust repository crates.io मा खराब प्याकेज rustdecimal पत्ता लाग्यो

Rust भाषाका विकासकर्ताहरूले चेतावनी दिएका छन् कि crates.io भण्डारमा मालिसियस कोड भएको रस्ट डेसिमल प्याकेज पहिचान गरिएको छ। प्याकेज वैध rust_decimal प्याकेजमा आधारित थियो र प्रयोगकर्ताले सूचीबाट मोड्युल खोज्दा वा चयन गर्दा अन्डरस्कोरको अनुपस्थितिलाई याद गर्दैन भन्ने अपेक्षाको साथ नाम (टाइपस्क्वाटिंग) मा समानता प्रयोग गरेर वितरण गरिएको थियो।

यो उल्लेखनीय छ कि यो रणनीति सफल साबित भयो र डाउनलोड संख्या को मामला मा, काल्पनिक प्याकेज मूल भन्दा अलि पछि मात्र थियो (~ 111 हजार डाउनलोड rustdecimal 1.23.1 र 113 हजार मूल rust_decimal 1.23.1 को)। । एकै समयमा, अधिकांश डाउनलोडहरू हानिरहित क्लोनका थिए जसमा दुर्भावनापूर्ण कोड थिएन। खराब परिवर्तनहरू मार्च 25 मा संस्करण rustdecimal 1.23.5 मा थपिएको थियो, जुन समस्या पहिचान हुनु अघि लगभग 500 पटक डाउनलोड गरिएको थियो र प्याकेज ब्लक गरिएको थियो (यस मानिन्छ कि खराब संस्करणका धेरैजसो डाउनलोडहरू बटहरूद्वारा गरिएको थियो) र भण्डारमा उपस्थित अन्य प्याकेजहरूमा निर्भरताको रूपमा प्रयोग गरिएको थिएन (यो सम्भव छ कि खराब प्याकेज अन्तिम अनुप्रयोगहरूमा निर्भरता थियो)।

खराब परिवर्तनहरूले नयाँ प्रकार्य, दशमलव::नयाँ, जसको कार्यान्वयनमा बाह्य सर्भरबाट डाउनलोड गर्न र कार्यान्वयनयोग्य फाइल सुरू गर्न अस्पष्ट कोड समावेश गरिएको थियो। प्रकार्यलाई कल गर्दा, वातावरण चर GITLAB_CI जाँच गरियो, र यदि सेट गरियो भने, फाइल /tmp/git-updater.bin बाह्य सर्भरबाट डाउनलोड गरिएको थियो। डाउनलोड गर्न मिल्ने मालिसियस ह्यान्डलरले लिनक्स र macOS मा कामलाई समर्थन गर्यो (विन्डोज प्लेटफर्म समर्थित थिएन)।

यो मानिएको थियो कि लगातार एकीकरण प्रणालीहरूमा परीक्षणको क्रममा मालिसियस प्रकार्य कार्यान्वयन हुनेछ। rustdecimal अवरुद्ध गरेपछि, crates.io प्रशासकहरूले समान दुर्भावनापूर्ण इन्सर्टहरूको लागि भण्डारको सामग्रीहरू विश्लेषण गरे, तर अन्य प्याकेजहरूमा समस्याहरू पहिचान गरेनन्। GitLab प्लेटफर्ममा आधारित निरन्तर एकीकरण प्रणालीका मालिकहरूलाई उनीहरूको सर्भरमा परीक्षण गरिएका परियोजनाहरूले उनीहरूको निर्भरतामा रस्टडेसिमल प्याकेज प्रयोग गर्दैनन् भनेर सुनिश्चित गर्न सल्लाह दिइन्छ।

स्रोत: opennet.ru