De ontwikkelaars van de programmeertaal Rust hebben gewaarschuwd voor de ontdekking van het pakket rustdecimal in de repository crates.io, dat schadelijke code bevat. Het pakket was gebaseerd op het legitieme pakket rust_decimal en profiteerde van de gelijkenis in de naam (type aliasing) in de veronderstelling dat de gebruiker de afwezigheid van een onderstrepingsteken niet zou opmerken bij het zoeken of kiezen van een module uit de lijst.
Opmerkelijk is dat de genoemde strategie succesvol bleek, aangezien het aantal downloads van het nep-pakket slechts iets achterbleef bij het origineel (~111 duizend downloads van rustdecimal 1.23.1 en 113 duizend van het originele rust_decimal 1.23.1). De meeste downloads kwamen echter op het onschadelijke kloonpakket, dat geen schadelijke code bevatte. De schadelijke wijzigingen werden toegevoegd op 25 maart in versie rustdecimal 1.23.5, welke vĆ³Ć³r de ontdekking van het probleem en blokkering van het pakket ongeveer 500 keer was gedownload (het wordt aangenomen dat het grootste deel van de downloads van de schadelijke versie door bots is uitgevoerd) en niet in de afhankelijkheden van andere pakketten in de repository werd gebruikt (het is mogelijk dat het schadelijke pakket wel in de afhankelijkheden van eindapplicaties werd gebruikt).
De schadelijke wijzigingen bestonden uit de toevoeging van een nieuwe functie Decimal::new, waarvan de implementatie obfuscated code bevatte om een uitvoerbaar bestand van een externe server te laden. de server Bij het aanroepen van de functie werd gecontroleerd of de omgevingsvariabele GITLAB_CI was ingesteld; als dit het geval was, werd een bestand van een externe server gedownload naar \/tmp\git-updater.bin. De gedownloade schadelijke handler ondersteunde werking op Linux en macOS (het Windows-platform werd niet ondersteund).
Het was de bedoeling dat de schadelijke functie zou worden uitgevoerd tijdens testen op systemen voor continue integratie. Nadat rustdecimal was geblokkeerd, voerden de beheerders van crates.io een analyse uit van de inhoud van de repository op vergelijkbare schadelijke invoegingen, maar vonden geen problemen in andere pakketten. Eigenaren van continue integratiesystemen op basis van het GitLab-platform wordt aangeraden om ervoor te zorgen dat de projecten die zij testen geen afhankelijkheden bevatten van het pakket rustdecimal. servers De ontwikkelaars van de programmeertaal Rust hebben gewaarschuwd voor de ontdekking van het pakket rustdecimal in de repository crates.io, dat schadelijke code bevat.
Bron: opennet.ru
