Rust repository crates.io ਵਿੱਚ ਖਤਰਨਾਕ ਪੈਕੇਜ rustdecimal ਖੋਜਿਆ ਗਿਆ ਹੈ

ਜੰਗਾਲ ਭਾਸ਼ਾ ਦੇ ਡਿਵੈਲਪਰਾਂ ਨੇ ਚੇਤਾਵਨੀ ਦਿੱਤੀ ਹੈ ਕਿ crates.io ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਵਾਲੇ ਇੱਕ rustdecimal ਪੈਕੇਜ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ। ਪੈਕੇਜ ਜਾਇਜ਼ rust_decimal ਪੈਕੇਜ 'ਤੇ ਅਧਾਰਤ ਸੀ ਅਤੇ ਇਸ ਉਮੀਦ ਨਾਲ ਨਾਮ (ਟਾਈਪਸਕੈਟਿੰਗ) ਵਿੱਚ ਸਮਾਨਤਾ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਵੰਡਿਆ ਗਿਆ ਸੀ ਕਿ ਉਪਭੋਗਤਾ ਸੂਚੀ ਵਿੱਚੋਂ ਇੱਕ ਮੋਡੀਊਲ ਦੀ ਖੋਜ ਜਾਂ ਚੋਣ ਕਰਨ ਵੇਲੇ ਇੱਕ ਅੰਡਰਸਕੋਰ ਦੀ ਅਣਹੋਂਦ ਵੱਲ ਧਿਆਨ ਨਹੀਂ ਦੇਵੇਗਾ।

ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਇਹ ਰਣਨੀਤੀ ਸਫਲ ਸਾਬਤ ਹੋਈ ਅਤੇ ਡਾਉਨਲੋਡਸ ਦੀ ਸੰਖਿਆ ਦੇ ਲਿਹਾਜ਼ ਨਾਲ, ਫਰਜ਼ੀ ਪੈਕੇਜ ਅਸਲ ਤੋਂ ਥੋੜ੍ਹਾ ਹੀ ਪਿੱਛੇ ਸੀ (111 ਦੇ 1.23.1 ਹਜ਼ਾਰ ਡਾਉਨਲੋਡਸ ਅਤੇ ਮੂਲ ਜੰਗਾਲ_ਦਸ਼ਮਲਵ 113 ਦੇ 1.23.1 ਹਜ਼ਾਰ)। . ਇਸ ਦੇ ਨਾਲ ਹੀ, ਜ਼ਿਆਦਾਤਰ ਡਾਉਨਲੋਡ ਨੁਕਸਾਨ ਰਹਿਤ ਕਲੋਨ ਦੇ ਸਨ ਜਿਸ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਨਹੀਂ ਸੀ। 25 ਮਾਰਚ ਨੂੰ ਸੰਸਕਰਣ rustdecimal 1.23.5 ਵਿੱਚ ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਸ਼ਾਮਲ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ, ਜੋ ਸਮੱਸਿਆ ਦੀ ਪਛਾਣ ਕਰਨ ਅਤੇ ਪੈਕੇਜ ਨੂੰ ਬਲੌਕ ਕੀਤੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਲਗਭਗ 500 ਵਾਰ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ (ਇਹ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਕਿ ਖਤਰਨਾਕ ਸੰਸਕਰਣ ਦੇ ਜ਼ਿਆਦਾਤਰ ਡਾਊਨਲੋਡ ਬੋਟਸ ਦੁਆਰਾ ਕੀਤੇ ਗਏ ਸਨ) ਅਤੇ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਮੌਜੂਦ ਹੋਰ ਪੈਕੇਜਾਂ 'ਤੇ ਨਿਰਭਰਤਾ ਵਜੋਂ ਨਹੀਂ ਵਰਤਿਆ ਗਿਆ ਸੀ (ਇਹ ਸੰਭਵ ਹੈ ਕਿ ਖਤਰਨਾਕ ਪੈਕੇਜ ਅੰਤਮ ਐਪਲੀਕੇਸ਼ਨਾਂ 'ਤੇ ਨਿਰਭਰਤਾ ਸੀ)।

ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਵਿੱਚ ਇੱਕ ਨਵਾਂ ਫੰਕਸ਼ਨ, ਦਸ਼ਮਲਵ::ਨਵਾਂ ਸ਼ਾਮਲ ਕਰਨਾ ਸ਼ਾਮਲ ਹੈ, ਜਿਸ ਦੇ ਲਾਗੂਕਰਨ ਵਿੱਚ ਇੱਕ ਬਾਹਰੀ ਸਰਵਰ ਤੋਂ ਡਾਊਨਲੋਡ ਕਰਨ ਅਤੇ ਇੱਕ ਐਗਜ਼ੀਕਿਊਟੇਬਲ ਫਾਈਲ ਲਾਂਚ ਕਰਨ ਲਈ ਅਸਪਸ਼ਟ ਕੋਡ ਸ਼ਾਮਲ ਹੈ। ਫੰਕਸ਼ਨ ਨੂੰ ਕਾਲ ਕਰਨ ਵੇਲੇ, ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ GITLAB_CI ਦੀ ਜਾਂਚ ਕੀਤੀ ਗਈ ਸੀ, ਅਤੇ ਜੇਕਰ ਸੈੱਟ ਕੀਤੀ ਗਈ ਸੀ, ਤਾਂ ਫਾਇਲ /tmp/git-updater.bin ਨੂੰ ਬਾਹਰੀ ਸਰਵਰ ਤੋਂ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ। ਡਾਊਨਲੋਡ ਕਰਨ ਯੋਗ ਖਤਰਨਾਕ ਹੈਂਡਲਰ ਲੀਨਕਸ ਅਤੇ ਮੈਕੋਸ (ਵਿੰਡੋਜ਼ ਪਲੇਟਫਾਰਮ ਸਮਰਥਿਤ ਨਹੀਂ ਸੀ) 'ਤੇ ਕੰਮ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ।

ਇਹ ਮੰਨਿਆ ਗਿਆ ਸੀ ਕਿ ਲਗਾਤਾਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀਆਂ 'ਤੇ ਟੈਸਟਿੰਗ ਦੌਰਾਨ ਖਤਰਨਾਕ ਫੰਕਸ਼ਨ ਨੂੰ ਚਲਾਇਆ ਜਾਵੇਗਾ। rustdecimal ਨੂੰ ਬਲੌਕ ਕਰਨ ਤੋਂ ਬਾਅਦ, crates.io ਪ੍ਰਬੰਧਕਾਂ ਨੇ ਸਮਾਨ ਖਤਰਨਾਕ ਸੰਮਿਲਨਾਂ ਲਈ ਰਿਪੋਜ਼ਟਰੀ ਦੀ ਸਮੱਗਰੀ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕੀਤਾ, ਪਰ ਦੂਜੇ ਪੈਕੇਜਾਂ ਵਿੱਚ ਸਮੱਸਿਆਵਾਂ ਦੀ ਪਛਾਣ ਨਹੀਂ ਕੀਤੀ। GitLab ਪਲੇਟਫਾਰਮ 'ਤੇ ਅਧਾਰਤ ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਪ੍ਰਣਾਲੀਆਂ ਦੇ ਮਾਲਕਾਂ ਨੂੰ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਦੀ ਸਲਾਹ ਦਿੱਤੀ ਜਾਂਦੀ ਹੈ ਕਿ ਉਨ੍ਹਾਂ ਦੇ ਸਰਵਰਾਂ 'ਤੇ ਟੈਸਟ ਕੀਤੇ ਪ੍ਰੋਜੈਕਟ ਆਪਣੀ ਨਿਰਭਰਤਾ ਵਿੱਚ rustdecimal ਪੈਕੇਜ ਦੀ ਵਰਤੋਂ ਨਹੀਂ ਕਰਦੇ ਹਨ।

ਸਰੋਤ: opennet.ru