Sårbarhet i RubyGems.org som möjliggör att byta ut andras paket

Det har upptäckts en kritisk sårbarhet (CVE-2022-29176) i RubyGems.org:s paketförråd, som gör det möjligt att utan behörighet byta ut vissa andra paket i förrådet genom att initiera en utmärkelse (yank) av ett legitimt paket och ladda upp en annan fil med samma namn och versionsnummer istället.

För att sårbarheten ska kunna utnyttjas krävs att tre villkor uppfylls:

• Attacken kan endast riktas mot paket vars namn innehåller ett bindestreck.
• Angriparen måste kunna ladda upp ett gem-paket med en del av namnet innan bindestrecket. Om attacken riktas mot paketet "rails-html-sanitizer" måste angriparen ladda upp sitt eget paket "rails-html" i förrådet.
• Paketet som attacken riktas mot måste ha skapats inom de senaste 30 dagarna eller inte ha uppdaterats på 100 dagar.

Sårbarheten orsakas av ett fel i hanteraren för åtgärden "yank", som tolkar delen av namnet efter bindestrecket som plattformens namn, vilket gjorde det möjligt att initiera borttagning av andra paket som matchar i delen av namnet före bindestrecket. Specifikt användes i koden för yank-operationen anropet ‘find_by!(full_name: "#{rubygem.name}-#{slug}")’, där parametern "slug" skickades av paketets ägare för att bestämma vilken version som skulle tas bort. Ägaren av paketet "rails-html" kunde istället för versionen "1.2.3" ange "sanitizer-1.2.3", vilket skulle leda till att åtgärden fick effekt på det utländska paketet "rails-html-sanitizer-1.2.3".

Problemet upptäcktes av en säkerhetsforskare inom ramen för ett belöningsprogram på HackerOne för att hitta säkerhetsproblem i kända öppna projekt. Problemet åtgärdades i RubyGems.org den 5 maj, och enligt utvecklarna har de hittills inte funnit några bevis på utnyttjande av sårbarheten i loggarna under de senaste 18 månaderna. Hittills har enbart en ytlig granskning gjorts, och en mer grundlig inspektion planeras framöver.

För att kontrollera dina projekt rekommenderas det att analysera operationshistoriken i filen Gemfile.lock. Skadlig aktivitet framträder i form av ändringar som bevarar namn och version eller byter plattform (till exempel när paketet gemname-1.2.3 uppdateras till gemname-1.2.3-java). Som en omväg för att skydda mot dolda paketbyten i kontinuerliga integrationssystem eller vid publicering av projekt rekommenderas utvecklare att använda Bundler med alternativen "—frozen" eller "—deployment" för att fastställa beroenden.

Källa: opennet.ru