{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Kwetsbaarheid in RubyGems.org die het vervangen van andermans pakketten mogelijk maakt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de RubyGems.org-pakketrepository is een kritieke kwetsbaarheid (CVE-2022-29176) ontdekt, die het mogelijk maakt om sommige externe pakketten in het repository te vervangen zonder de juiste bevoegdheden door een legitiem pakket te laten intrekken (yank) en in plaats daarvan een ander bestand met dezelfde naam en versie te uploaden. <\/p>\n
Voor een succesvolle exploitatie van de kwetsbaarheid zijn drie voorwaarden nodig: <\/p>\n
\n
De aanval kan alleen worden uitgevoerd op pakketten waarvan de naam een koppelteken bevat.\n
De aanvaller moet in staat zijn om een gem-pakket te plaatsen met een deel van de naam v\u00f3\u00f3r het koppelteken. Bijvoorbeeld, als de aanval gericht is op het pakket «rails-html-sanitizer», moet de aanvaller zijn eigen pakket «rails-html» in de repository plaatsen.\n
Het pakket waarop de aanval wordt uitgevoerd, moet in de afgelopen 30 dagen zijn aangemaakt of in de afgelopen 100 dagen niet zijn bijgewerkt. <\/ul>\n
De kwetsbaarheid wordt veroorzaakt door een fout in de actiehandler «yank», die het deel van de naam na het koppelteken interpreteert als platformnaam, waardoor het mogelijk was om het verwijderen van andermans pakketten te initi\u00ebren die overeenkwamen in het deel van de naam v\u00f3\u00f3r het koppelteken. In het bijzonder werd in de code van de «yank»-operatie de aanroep ‘find_by!(full_name: «#{rubygem.name}-#{slug}»)’ gebruikt, terwijl de parameter «slug» door de eigenaar van het pakket werd doorgegeven om de te verwijderen versie te bepalen. De eigenaar van het pakket «rails-html» kon in plaats van versie «1.2.3» «sanitizer-1.2.3» opgeven, wat zou leiden tot het toepassen van de bewerking op het andere pakket «rails-html-sanitizer-1.2.3». <\/p>\n
Het probleem is ontdekt door een beveiligingsonderzoeker binnen het huidige HackerOne-programma voor het uitkeren van beloningen voor het vinden van beveiligingsproblemen in bekende open source-projecten. Het probleem is op 5 mei opgelost in RubyGems.org en volgens de ontwikkelaars zijn er tot nu toe geen tekenen van exploitatie van de kwetsbaarheid gevonden in de logs van de afgelopen 18 maanden. Tot nu toe is er echter slechts een oppervlakkige audit uitgevoerd en er zijn plannen voor een diepgaandere inspectie. <\/p>\n
Voor het controleren van uw projecten wordt aanbevolen de geschiedenis van operaties in het bestand Gemfile.lock te analyseren, waarbij kwaadaardige activiteit zich uitdrukt in wijzigingsgeschiedenis met behoud van naam en versie of verandering van platform (bijvoorbeeld wanneer het gemname-1.2.3 pakket is bijgewerkt naar gemname-1.2.3-java). Als een omweg voor bescherming tegen verborgen substitutie van pakketten in continue integratiesystemen of bij publicatie van projecten wordt ontwikkelaars aangeraden om Bundler te gebruiken met de opties «—frozen» of «—deployment» voor het vastleggend van afhankelijkheden. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"