{"id":103981,"date":"2022-05-09T09:36:45","date_gmt":"2022-05-09T07:36:45","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety"},"modified":"2022-05-09T09:36:45","modified_gmt":"2022-05-09T07:36:45","slug":"uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimost-v-rubygems-org-pozvolyayushhaya-podmenit-chuzhie-pakety","title":{"rendered":"S\u00e5rbarhet i RubyGems.org som m\u00f6jligg\u00f6r att byta ut andras paket","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Det har uppt\u00e4ckts en kritisk s\u00e5rbarhet (CVE-2022-29176) i RubyGems.org:s paketf\u00f6rr\u00e5d, som g\u00f6r det m\u00f6jligt att utan beh\u00f6righet byta ut vissa andra paket i f\u00f6rr\u00e5det genom att initiera en utm\u00e4rkelse (yank) av ett legitimt paket och ladda upp en annan fil med samma namn och versionsnummer ist\u00e4llet. <\/p>\n
F\u00f6r att s\u00e5rbarheten ska kunna utnyttjas kr\u00e4vs att tre villkor uppfylls: <\/p>\n
\n
Attacken kan endast riktas mot paket vars namn inneh\u00e5ller ett bindestreck.\n
En angripare b\u00f6r kunna placera ett gem-paket med en del av namnet fram till bindestrecket. Till exempel, om attacken riktas mot paketet «rails-html-sanitizer», b\u00f6r angriparen kunna placera sitt eget paket «rails-html» i lagret.\n
Paketet som attacken riktas mot m\u00e5ste ha skapats inom de senaste 30 dagarna eller inte ha uppdaterats p\u00e5 100 dagar. <\/ul>\n
S\u00e5rbarheten orsakas av ett fel i hanteraren f\u00f6r \u00e5tg\u00e4rden «yank», som tolkar delen av namnet efter bindestrecket som plattformsnamn, vilket gjorde det m\u00f6jligt att initiera borttagning av andra paket som matchade delen av namnet fram till bindestrecket. I synnerhet anv\u00e4ndes i koden f\u00f6r «yank»-operationen anropet ‘find_by!(full_name: «#{rubygem.name}-#{slug}»)’, d\u00e4r parametern «slug» skickades av paketets \u00e4gare f\u00f6r att best\u00e4mma vilken version som skulle tas bort. \u00c4garen av paketet «rails-html» kunde, ist\u00e4llet f\u00f6r versionen «1.2.3», ange «sanitizer-1.2.3», vilket skulle leda till att operationen till\u00e4mpades p\u00e5 ett annat paket «rails-html-sanitizer-1.2.3». <\/p>\n
Problemet uppt\u00e4cktes av en s\u00e4kerhetsforskare inom ramen f\u00f6r ett bel\u00f6ningsprogram p\u00e5 HackerOne f\u00f6r att hitta s\u00e4kerhetsproblem i k\u00e4nda \u00f6ppna projekt. Problemet \u00e5tg\u00e4rdades i RubyGems.org den 5 maj, och enligt utvecklarna har de hittills inte funnit n\u00e5gra bevis p\u00e5 utnyttjande av s\u00e5rbarheten i loggarna under de senaste 18 m\u00e5naderna. Hittills har enbart en ytlig granskning gjorts, och en mer grundlig inspektion planeras fram\u00f6ver. <\/p>\n
F\u00f6r att granska sina projekt rekommenderas det att analysera operationernas historia i filen Gemfile.lock, d\u00e4r skadlig aktivitet uttrycks genom n\u00e4rvaron av \u00e4ndringar som beh\u00e5ller namn och version eller \u00e4ndrar plattformen (till exempel n\u00e4r paketet gemname-1.2.3 uppdateras till gemname-1.2.3-java). Som en skydds\u00e5tg\u00e4rd mot dolt paketbyte i kontinuerlig integrering eller vid publicering av projekt rekommenderas det att utvecklare anv\u00e4nder Bundler med alternativ «—frozen» eller «—deployment» f\u00f6r att l\u00e5sa beroenden. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"