{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Zagro\u017cenie w RubyGems.org umo\u017cliwiaj\u0105ce podmian\u0119 cudzych pakiet\u00f3w","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W repozytorium pakiet\u00f3w RubyGems.org wykryto krytyczn\u0105 luk\u0119 (CVE-2022-29176), kt\u00f3ra umo\u017cliwia, bez odpowiednich uprawnie\u0144, zast\u0105pienie niekt\u00f3rych obcych pakiet\u00f3w w repozytorium poprzez inicjowanie wycofania (yank) legalnego pakietu i przes\u0142anie zamiast niego innego pliku o tej samej nazwie i numerze wersji. <\/p>\n
Aby skutecznie wykorzysta\u0107 luk\u0119, musz\u0105 by\u0107 spe\u0142nione trzy warunki: <\/p>\n
\n
Atak mo\u017ce by\u0107 przeprowadzony tylko na pakiety, w kt\u00f3rych nazwie u\u017cyto znaku minus.\n
Atakuj\u0105cy powinien mie\u0107 mo\u017cliwo\u015b\u0107 umieszczenia pakietu gem z cz\u0119\u015bci\u0105 nazwy przed znakiem minus. Na przyk\u0142ad, je\u015bli atak dotyczy pakietu «rails-html-sanitizer», atakuj\u0105cy powinien umie\u015bci\u0107 w repozytorium w\u0142asny pakiet «rails-html».\n
Pakiet, na kt\u00f3ry jest przeprowadzany atak, musi zosta\u0107 utworzony w ci\u0105gu ostatnich 30 dni lub nie by\u0107 aktualizowany przez 100 dni. <\/ul>\n
Vulnereailno\u015b\u0107 jest spowodowana b\u0142\u0119dem w obs\u0142udze akcji «yank», kt\u00f3ry traktuje cz\u0119\u015b\u0107 nazwy po znaku minus jako nazw\u0119 platformy, co umo\u017cliwia inicjowanie usuwania cudzych pakiet\u00f3w, kt\u00f3re maj\u0105 wsp\u00f3ln\u0105 cz\u0119\u015b\u0107 nazwy przed znakiem minus. W szczeg\u00f3lno\u015bci, w kodzie obs\u0142uguj\u0105cym operacj\u0119 «yank» u\u017cyto wywo\u0142ania ‘find_by!(full_name: «#{rubygem.name}-#{slug}»)’, gdzie parametr «slug» zosta\u0142 przekazany przez w\u0142a\u015bciciela pakietu do okre\u015blenia usuwanej wersji. W\u0142a\u015bciciel pakietu «rails-html» zamiast wersji «1.2.3» m\u00f3g\u0142 poda\u0107 «sanitizer-1.2.3», co doprowadzi\u0142oby do zastosowania operacji do cudziwego pakietu «rails-html-sanitizer-1.2.3». <\/p>\n
Problem zosta\u0142 wykryty przez badacza bezpiecze\u0144stwa w ramach aktywnego programu nagr\u00f3d za wyszukiwanie problem\u00f3w z bezpiecze\u0144stwem w znanych projektach otwartych na HackerOne. Problem zosta\u0142 rozwi\u0105zany w RubyGems.org 5 maja, a wed\u0142ug o\u015bwiadczenia deweloper\u00f3w, jak dot\u0105d nie wykryto \u015blad\u00f3w eksploatacji luki w logach w ci\u0105gu ostatnich 18 miesi\u0119cy. Przeprowadzono jedynie powierzchowny audyt, a w przysz\u0142o\u015bci planowane jest przeprowadzenie dok\u0142adniejszej kontroli. <\/p>\n
Zaleca si\u0119 analizowanie historii operacji w pliku Gemfile.lock w celu sprawdzenia swoich projekt\u00f3w, poniewa\u017c z\u0142o\u015bliwa aktywno\u015b\u0107 przejawia si\u0119 w obecno\u015bci zmian z zachowaniem nazwy i wersji lub zmian\u0105 platformy (na przyk\u0142ad, gdy pakiet gemname-1.2.3 zosta\u0142 zaktualizowany do gemname-1.2.3-java). Jako obej\u015bcie metody ochrony przed ukrytym podmienianiem pakiet\u00f3w w systemach ci\u0105g\u0142ej integracji lub przy publikacji projekt\u00f3w, zaleca si\u0119 deweloperom korzystanie z Bundlera z opcjami «—frozen» lub «—deployment» do utrwalenia zale\u017cno\u015bci. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"