RubyGems.org ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਜੋ ਦੂਜੇ ਲੋਕਾਂ ਦੇ ਪੈਕੇਜਾਂ ਨੂੰ ਧੋਖਾ ਦੇਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ

RubyGems.org ਪੈਕੇਜ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਇੱਕ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀ (CVE-2022-29176) ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਕਿ, ਉਚਿਤ ਅਧਿਕਾਰ ਦੇ ਬਿਨਾਂ, ਇੱਕ ਜਾਇਜ਼ ਪੈਕੇਜ ਦੀ ਯੈਂਕ ਸ਼ੁਰੂ ਕਰਕੇ ਅਤੇ ਇਸਦੀ ਥਾਂ 'ਤੇ ਲੋਡ ਕਰਨ ਦੁਆਰਾ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਕੁਝ ਹੋਰ ਲੋਕਾਂ ਦੇ ਪੈਕੇਜਾਂ ਨੂੰ ਬਦਲਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ। ਉਸੇ ਨਾਮ ਅਤੇ ਸੰਸਕਰਣ ਨੰਬਰ ਵਾਲੀ ਇੱਕ ਹੋਰ ਫਾਈਲ।

ਕਮਜ਼ੋਰੀ ਦਾ ਸਫਲਤਾਪੂਰਵਕ ਸ਼ੋਸ਼ਣ ਕਰਨ ਲਈ, ਤਿੰਨ ਸ਼ਰਤਾਂ ਪੂਰੀਆਂ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ:

• ਹਮਲਾ ਸਿਰਫ਼ ਉਨ੍ਹਾਂ ਪੈਕੇਟਾਂ 'ਤੇ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਦੇ ਨਾਮ 'ਤੇ ਹਾਈਫ਼ਨ ਲਿਖਿਆ ਹੋਇਆ ਹੈ।
• ਇੱਕ ਹਮਲਾਵਰ ਨੂੰ ਹਾਈਫਨ ਅੱਖਰ ਤੋਂ ਪਹਿਲਾਂ ਨਾਮ ਦੇ ਹਿੱਸੇ ਦੇ ਨਾਲ ਇੱਕ ਰਤਨ ਪੈਕੇਜ ਰੱਖਣ ਦੇ ਯੋਗ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਹਮਲਾ "rails-html-sanitizer" ਪੈਕੇਜ 'ਤੇ ਹੈ, ਤਾਂ ਹਮਲਾਵਰ ਨੂੰ ਆਪਣਾ "rails-html" ਪੈਕੇਜ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਰੱਖਣਾ ਚਾਹੀਦਾ ਹੈ।
• ਹਮਲਾ ਕੀਤਾ ਜਾ ਰਿਹਾ ਪੈਕੇਜ ਪਿਛਲੇ 30 ਦਿਨਾਂ ਦੇ ਅੰਦਰ ਬਣਾਇਆ ਗਿਆ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਜਾਂ 100 ਦਿਨਾਂ ਲਈ ਅੱਪਡੇਟ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ।

ਕਮਜ਼ੋਰੀ "ਯੈਂਕ" ਐਕਸ਼ਨ ਹੈਂਡਲਰ ਵਿੱਚ ਇੱਕ ਗਲਤੀ ਕਾਰਨ ਹੁੰਦੀ ਹੈ, ਜੋ ਕਿ ਪਲੇਟਫਾਰਮ ਦੇ ਨਾਮ ਵਜੋਂ ਹਾਈਫਨ ਤੋਂ ਬਾਅਦ ਨਾਮ ਦੇ ਹਿੱਸੇ ਦੀ ਵਿਆਖਿਆ ਕਰਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਨਾਮ ਦੇ ਹਿੱਸੇ ਨਾਲ ਮੇਲ ਖਾਂਦੇ ਵਿਦੇਸ਼ੀ ਪੈਕੇਜਾਂ ਨੂੰ ਮਿਟਾਉਣਾ ਸ਼ੁਰੂ ਕਰਨਾ ਸੰਭਵ ਹੋ ਗਿਆ ਹੈ। ਹਾਈਫਨ ਤੋਂ ਪਹਿਲਾਂ। ਖਾਸ ਤੌਰ 'ਤੇ, "ਯੈਂਕ" ਹੈਂਡਲਰ ਕੋਡ ਵਿੱਚ, 'find_by!(full_name: "#{rubygem.name}-#{slug}")" ਕਾਲ ਦੀ ਵਰਤੋਂ ਪੈਕੇਜਾਂ ਨੂੰ ਲੱਭਣ ਲਈ ਕੀਤੀ ਗਈ ਸੀ, ਜਦੋਂ ਕਿ "ਸਲੱਗ" ਪੈਰਾਮੀਟਰ ਦੁਆਰਾ ਪਾਸ ਕੀਤਾ ਗਿਆ ਸੀ। ਸੰਸਕਰਣ ਨੂੰ ਹਟਾਉਣ ਲਈ ਪੈਕੇਜ ਮਾਲਕ। ਪੈਕੇਜ "rails-html" ਦਾ ਮਾਲਕ ਸੰਸਕਰਣ "1.2.3" ਦੀ ਬਜਾਏ "ਸੈਨੀਟਾਈਜ਼ਰ-1.2.3" ਨੂੰ ਨਿਰਧਾਰਤ ਕਰ ਸਕਦਾ ਹੈ, ਜਿਸ ਨਾਲ ਓਪਰੇਸ਼ਨ ਕਿਸੇ ਹੋਰ ਦੇ ਪੈਕੇਜ "rails-html-sanitizer-1.2.3" 'ਤੇ ਲਾਗੂ ਕੀਤਾ ਜਾਵੇਗਾ। ".

ਇਸ ਮੁੱਦੇ ਦੀ ਪਛਾਣ ਇੱਕ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾ ਦੁਆਰਾ ਜਾਣੇ ਜਾਂਦੇ ਓਪਨ-ਸੋਰਸ ਪ੍ਰੋਜੈਕਟਾਂ ਵਿੱਚ ਸੁਰੱਖਿਆ ਮੁੱਦਿਆਂ ਨੂੰ ਲੱਭਣ ਲਈ ਹੈਕਰਓਨ ਦੇ ਇਨਾਮੀ ਪ੍ਰੋਗਰਾਮ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਕੀਤੀ ਗਈ ਸੀ। RubyGems.org ਵਿੱਚ 5 ਮਈ ਨੂੰ ਸਮੱਸਿਆ ਹੱਲ ਕੀਤੀ ਗਈ ਸੀ ਅਤੇ ਡਿਵੈਲਪਰਾਂ ਦੇ ਅਨੁਸਾਰ, ਉਹਨਾਂ ਨੇ ਅਜੇ ਤੱਕ ਪਿਛਲੇ 18 ਮਹੀਨਿਆਂ ਵਿੱਚ ਲੌਗਸ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਦੇ ਸ਼ੋਸ਼ਣ ਦੇ ਕਿਸੇ ਵੀ ਨਿਸ਼ਾਨ ਦੀ ਪਛਾਣ ਨਹੀਂ ਕੀਤੀ ਹੈ। ਇਸਦੇ ਨਾਲ ਹੀ, ਹੁਣ ਤੱਕ ਸਿਰਫ ਇੱਕ ਸਤਹੀ ਆਡਿਟ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਭਵਿੱਖ ਵਿੱਚ ਇੱਕ ਹੋਰ ਡੂੰਘਾਈ ਨਾਲ ਆਡਿਟ ਦੀ ਯੋਜਨਾ ਹੈ।

ਆਪਣੇ ਪ੍ਰੋਜੈਕਟਾਂ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ, Gemfile.lock ਫਾਈਲ ਵਿੱਚ ਓਪਰੇਸ਼ਨਾਂ ਦੇ ਇਤਿਹਾਸ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ; ਨਾਮ ਅਤੇ ਸੰਸਕਰਣ ਦੀ ਸੁਰੱਖਿਆ ਜਾਂ ਪਲੇਟਫਾਰਮ ਦੀ ਤਬਦੀਲੀ (ਉਦਾਹਰਨ ਲਈ, ਜਦੋਂ gemfile.lock) ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਦੀ ਮੌਜੂਦਗੀ ਵਿੱਚ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਪ੍ਰਗਟ ਕੀਤੀ ਜਾਂਦੀ ਹੈ -1.2.3 ਪੈਕੇਜ ਨੂੰ gemname-1.2.3-java ਵਿੱਚ ਅੱਪਡੇਟ ਕੀਤਾ ਗਿਆ ਹੈ)। ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀਆਂ ਵਿੱਚ ਲੁਕਵੇਂ ਪੈਕੇਜ ਪ੍ਰਤੀਸਥਾਪਨ ਜਾਂ ਪ੍ਰੋਜੈਕਟਾਂ ਨੂੰ ਪ੍ਰਕਾਸ਼ਤ ਕਰਦੇ ਸਮੇਂ, ਡਿਵੈਲਪਰਾਂ ਨੂੰ ਨਿਰਭਰਤਾ ਨੂੰ ਠੀਕ ਕਰਨ ਲਈ "-ਫਰੋਜ਼ਨ" ਜਾਂ "-ਡਿਪਲਾਇਮੈਂਟ" ਵਿਕਲਪਾਂ ਨਾਲ ਬੰਡਲਰ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ।

ਸਰੋਤ: opennet.ru