Udukuzi wa seva ya ujenzi na kuhatarisha hazina za jumuiya ya Libretro inayoendeleza RetroArch

Jumuiya ya Libretro inakuza kiigaji cha kiweko cha mchezo RetroArch na vifaa vya usambazaji vya kuunda vidhibiti vya mchezo Lakka, alionya kuhusu udukuzi wa vipengele vya miundombinu ya mradi na uharibifu katika hifadhi. Washambuliaji waliweza kupata ufikiaji wa seva ya ujenzi (buildbot) na hazina kwenye GitHub.

Kwenye GitHub, washambuliaji walipata ufikiaji wa wote hazina Shirika la Libretro kwa kutumia akaunti ya mmoja wa washiriki wa mradi wanaoaminika. Shughuli ya washambuliaji ilikuwa tu ya uharibifu - walijaribu kufuta yaliyomo kwenye hazina kwa kuweka ahadi tupu ya awali. Shambulio hilo lilifuta hazina zote zilizoorodheshwa kwenye kurasa tatu kati ya tisa za hazina za Libretro kwenye Github. Kwa bahati nzuri, kitendo cha uharibifu kilizuiwa na watengenezaji kabla ya washambuliaji kufikia hazina muhimu. RetroArch.

Kwenye seva ya ujenzi, washambuliaji waliharibu huduma zinazozalisha miundo ya usiku na thabiti, pamoja na wale walio na jukumu la kupanga. michezo ya mtandao (ushawishi wa mtandao). Shughuli mbaya kwenye seva ilipunguzwa tu katika kufuta maudhui. Hakukuwa na majaribio ya kubadilisha faili zozote au kufanya mabadiliko kwa makusanyiko ya RetroArch na vifurushi vikuu. Hivi sasa, kazi ya Core Installer, Core Updater na Netplay Lobbie, pamoja na tovuti na huduma zinazohusiana na vipengele hivi (Sasisha Mali, Uwekeleaji wa Mwisho, Vivuli vya Usasishaji) imetatizwa.

Tatizo kuu ambalo mradi ulikumbana nalo baada ya tukio lilikuwa ukosefu wa mchakato wa chelezo otomatiki. Hifadhi rudufu ya mwisho ya seva ya ujenzi ilifanywa miezi kadhaa iliyopita. Shida zinaelezewa na watengenezaji kwa ukosefu wa pesa kwa mfumo wa chelezo otomatiki, kwa sababu ya bajeti ndogo ya kudumisha miundombinu. Waendelezaji hawana nia ya kurejesha seva ya zamani, lakini kuzindua mpya, uumbaji ambao ulikuwa katika mipango. Katika hali hii, miundo ya mifumo ya msingi kama vile Linux, Windows na Android itaanza mara moja, lakini uundaji wa mifumo maalum kama vile koni za mchezo na miundo ya zamani ya MSVC itachukua muda kupona.

Inachukuliwa kuwa GitHub, ambayo ombi sambamba imetumwa, itasaidia kurejesha yaliyomo kwenye hifadhi zilizosafishwa na kutambua mshambuliaji. Hadi sasa, tunajua tu kwamba hack ilifanyika kutoka kwa anwani ya IP 54.167.104.253, i.e. Mshambulizi huenda alitumia seva pepe iliyodukuliwa katika AWS kama sehemu ya kati. Taarifa kuhusu njia ya kupenya haijatolewa.

Chanzo: opennet.ru