Projekt Arch Linux wstrzymał rejestrację nowych kont w repozytorium AUR (Arch User Repository) z powodu nieustającej aktywności związanej z wstawianiem złośliwego kodu do pakietów oraz wandalizmu z obraźliwymi treściami w języku rosyjskim. Po pierwszym masowym ataku, deweloperzy Arch Linux próbowali zabezpieczyć się przed problemem za pomocą filtrów selektywnych, ale atakujący ominęli je, zamieniając npm na bun i obfuscując wywołanie swojego kodu w funkcji post_install. Możliwość rejestracji zostanie przywrócona po wdrożeniu bardziej skutecznej ochrony.
Aby przejąć pakiety, atakujący wykorzystali możliwość zapewnienia opieki nad pakietami w AUR, które nie miały opiekunów i miały status „orphaned”. Taka możliwość była udostępniana bez ograniczeń i weryfikacji każdemu, kto chciał. Obecnie w AUR znajduje się 107406 pakietów, z czego 13050 ma status „orphaned” (tydzień temu było 15261). W ciągu ostatniego tygodnia w repozytorium zaktualizowano 5578 pakietów, a w poprzednim — 3446. W repozytorium zarejestrowano 141967 użytkowników, a 69 opiekunów pakietów (w poprzednim tygodniu było 140949 użytkowników i 69 opiekunów).
Źródło: opennet.ru
