{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"Vulnerabilitate \u00een RubyGems.org care permite substituirea pachetelor str\u0103ine","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
O vulnerabilitate critic\u0103 a fost descoperit\u0103 \u00een depozitul de pachete RubyGems.org (CVE-2022-29176), care permite, f\u0103r\u0103 autorizare adecvat\u0103, \u00eenlocuirea unor pachete externe din depozit prin ini\u021bierea retragerii (yank) unui pachet legitim \u0219i \u00eenc\u0103rcarea \u00een locul acestuia a unui alt fi\u0219ier cu acela\u0219i nume \u0219i num\u0103r de versiune. <\/p>\n
Pentru exploatarea cu succes a vulnerabilit\u0103\u021bii, sunt necesare \u00eendeplinirea a trei condi\u021bii: <\/p>\n
\n
Atacul poate fi efectuat doar asupra pachetelor a c\u0103ror nume con\u021bin simbolul cratimei.\n
Un atacator ar trebui s\u0103 aib\u0103 capacitatea de a plasa un pachet gem cu o parte a numelui \u00eenainte de simbolul cratimei. De exemplu, dac\u0103 atacul se desf\u0103\u0219oar\u0103 asupra pachetului «rails-html-sanitizer», atacatorul ar trebui s\u0103 plaseze \u00een repositoriu propriul pachet «rails-html».\n
Pachetul vizat de atac trebuie s\u0103 fi fost creat \u00een ultimele 30 de zile sau s\u0103 nu fi fost actualizat \u00een ultimele 100 de zile. <\/ul>\n
Vulnerabilitatea este cauzat\u0103 de o eroare \u00een handlerul ac\u021biunii «yank», care interpreteaz\u0103 partea numelui dup\u0103 cratim\u0103 ca numele platformei, permi\u021b\u00e2nd ini\u021bierea \u0219tergerii pachetelor altora care se potrivesc cu partea numelui dinaintea simbolului cratimei. \u00cen special, \u00een codul handlerului pentru ac\u021biunea «yank», pentru c\u0103utarea pachetelor se folosea apelul ‘find_by!(full_name: «#{rubygem.name}-#{slug}»)’, av\u00e2nd \u00een vedere c\u0103 parametrul «slug» era transmis de proprietarul pachetului pentru a determina versiunea ce urma a fi \u0219tears\u0103. Proprietarul pachetului «rails-html» putea indica, \u00een loc de versiunea «1.2.3», «sanitizer-1.2.3», ceea ce ar fi dus la aplicarea opera\u021biei asupra unui alt pachet «rails-html-sanitizer-1.2.3». <\/p>\n
Problema a fost identificat\u0103 de un cercet\u0103tor \u00een domeniul securit\u0103\u021bii \u00een cadrul unei programe active de recompense pe HackerOne pentru descoperirea problemelor de securitate \u00een proiecte open-source cunoscute. Problema a fost remediat\u0103 \u00een RubyGems.org pe 5 mai \u0219i, conform declara\u021biilor dezvoltatorilor, p\u00e2n\u0103 acum nu au identificat urme de exploatare a vulnerabilit\u0103\u021bii \u00een jurnalele din ultimele 18 luni. Cu toate acestea, un audit superficial a fost realizat p\u00e2n\u0103 acum \u0219i se preconizeaz\u0103 efectuarea unei verific\u0103ri mai am\u0103nun\u021bite \u00een continuare. <\/p>\n
Pentru verificarea proiectelor, se recomand\u0103 analiza istoricului opera\u021biunilor din fi\u0219ierul Gemfile.lock, activitatea d\u0103un\u0103toare fiind exprimat\u0103 prin modific\u0103ri men\u021bin\u00e2nd numele \u0219i versiunea sau schimbarea platformei (de exemplu, c\u00e2nd pachetul gemname-1.2.3 a fost actualizat la gemname-1.2.3-java). Ca metod\u0103 de ocolire pentru protec\u021bia \u00eempotriva modific\u0103rii ascunse a pachetelor \u00een sistemele de integrare continu\u0103 sau atunci c\u00e2nd se public\u0103 proiecte, dezvoltatorilor li se recomand\u0103 utilizarea Bundler cu op\u021biunile «—frozen» sau «—deployment» pentru a fixa dependen\u021bele. \n Sursa: opennet.ro<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"