Ett skadligt paket rustdecimal har upptäckts i Rust-förvaret crates.io

Utvecklarna av språket Rust har varnat för att det har upptäckts ett paket rustdecimal i förvaret crates.io som innehåller skadlig kod. Paketet grundades på det legitima paketet rust_decimal och använde en liknande namnstruktur (typsnyting) med förhoppningen att användaren skulle ignorera avsaknaden av understreck när denne sökte eller valde ett modul från listan.

Det är värt att notera att den angivna strategin har visat sig framgångsrik, och det falska paketet har endast legat något efter originalet i nedladdningar (~111 000 nedladdningar av rustdecimal 1.23.1 och 113 000 av originalet rust_decimal 1.23.1). Det var dock nästan alla nedladdningar som gjordes av den ofarliga klonen, som inte innehöll skadlig kod. Skadliga ändringar lades till den 25 mars i versionen rustdecimal 1.23.5, som innan problemet upptäcktes och paketet blockerades hade laddats ner cirka 500 gånger (det antas att en stor del av nedladdningarna av den skadliga versionen genomfördes av robotar) och inte användes i beroenden av andra paket som finns i förvaret (det är möjligt att det skadliga paketet var en del av beroenden för slutapplikationer).

De skadliga ändringarna bestod i att en ny funktion Decimal::new lades till, i vars implementering skadlig kod fanns för att ladda ner från en extern servern och köra en körbar fil. När funktionen anropades utfördes en kontroll av miljövariabeln GITLAB_CI, där, om den var aktiv, laddades en fil från en extern server ner till /tmp/git-updater.bin. Den nedladdade skadliga hanteraren stödde drift i Linux och macOS (Windows-plattformen stöddes inte).

Det antogs att den skadliga funktionen skulle köras under testning på system för kontinuerlig integration. Efter blockeringen av rustdecimal genomförde administratörerna av crates.io en analys av innehållet i förvaret för att upptäcka liknande skadliga inslag men hittade inga problem i andra paket. Ägare av system för kontinuerlig integration baserade på GitLab-plattformen rekommenderas att säkerställa att de projekt de testar inte har rustdecimal som beroende. servrar Utvecklarna av språket Rust har varnat för att det har upptäckts ett paket rustdecimal i förvaret crates.io som innehåller skadlig kod.

Källa: opennet.ru