Zhvilluesit e gjuhës Rust paralajmëruan për zbulimin në depozitën crates.io të paketës rustdecimal, e cila përmban kod të dëmshëm. Paketa bazohej në paketën legjitime rust_decimal dhe për shpërndarje përdorte ngjashmërinë në emër (type-squatting) me shpresën që përdoruesi të mos vëmendësojë mungesën e simbolit të shkronjës poshtë, duke bërë një kërkim ose duke zgjedhur një modul nga lista.
ĂshtĂ« e rĂ«ndĂ«sishme tĂ« theksohet se strategjia e pĂ«rmendur ishte e suksesshme dhe nĂ« numrin e shkarkimeve, paketa fiktive kishte pak prapa origjinalit (~111 mijĂ« shkarkime rustdecimal 1.23.1 dhe 113 mijĂ« origjinalin rust_decimal 1.23.1). Shumica e shkarkimeve i pĂ«rkiste njĂ« kloni tĂ« padĂ«mshĂ«m, qĂ« nuk pĂ«rmbante kod tĂ« dĂ«mshĂ«m. Ndryshimet e dĂ«mshme u shtuan mĂ« 25 mars nĂ« versionin rustdecimal 1.23.5, i cili para zbulimit tĂ« problemit dhe bllokimit tĂ« paketĂ«s ishte shkarkuar rreth 500 herĂ« (nĂ« supozim se pjesa mĂ« e madhe e shkarkimeve tĂ« versionit tĂ« dĂ«mshĂ«m u bĂ«nĂ« nga bota) dhe nuk ishte pĂ«rdorur nĂ« varĂ«si nga paketat e tjera qĂ« ishin tĂ« pranishme nĂ« depozitĂ« (nuk pĂ«rjashtohet qĂ« paketa e dĂ«mshme ishte nĂ« varĂ«si tĂ« aplikacioneve pĂ«rfundimtare).
Ndryshimet e dëmshme përfshinin shtimin e një funksioni të ri Decimal::new, në realizimin e të cilit përfshihej kod i obfuzuar për shkarkimin nga një burim të jashtëm server dhe ekzekutimin e një skedari të ekzekutueshëm. Kur thirrej funksioni, kontrollohej variabla mjedisore GITLAB_CI, në rast se kjo ishte e vendosur, një skedar nga një server i jashtëm shkarkohej në /tmp/git-updater.bin. Trajtuesi i dëmshëm i shkarkuar mbështeste punën në Linux dhe macOS (platforma Windows nuk përkraheshin).
Supozoheshin se funksioni i dëmshëm do të ekzekutohej gjatë procesit të testimit në sisteme të integrimit të vazhdueshëm. Pas bllokimit të rustdecimal, administratorët e crates.io bënë një analizë të përmbajtjes së depozitës për të gjetur ngjashmëri të ngjashme të shpojave të dëmshme, por nuk zbuluan probleme në paketat e tjera. Pronarët e sistemeve të integrimit të vazhdueshëm të bazuar në platformën GitLab rekomandohen të sigurohen që projektet e tyre serverë të mos kishin përdorur në varësi paketën rustdecimal.
Burimi: opennet.ru
