AUR (ఆర్చ్ యూజర్ రిపోజిటరీ) రిపోజిటరీలోని ప్యాకేజీలపై నియంత్రణను స్వాధీనం చేసుకునేందుకు చేసిన ప్రయోగం యొక్క ఫలితాలు ప్రచురించబడ్డాయి, ఆర్చ్ లైనక్స్ డిస్ట్రిబ్యూషన్ యొక్క ప్రధాన రిపోజిటరీలలో చేర్చకుండా వారి ప్యాకేజీలను పంపిణీ చేయడానికి మూడవ పక్ష డెవలపర్‌లు దీనిని ఉపయోగిస్తారు. పరిశోధకులు PKGBUILD మరియు SRCINFO ఫైల్‌లలో కనిపించే డొమైన్‌ల రిజిస్ట్రేషన్ గడువు ముగింపు కోసం తనిఖీ చేసే స్క్రిప్ట్‌ను సిద్ధం చేశారు. ఈ స్క్రిప్ట్‌ని అమలు చేయడం వలన 14 ఫైల్ అప్‌లోడ్ ప్యాకేజీలలో ఉపయోగించిన 20 గడువు ముగిసిన డొమైన్‌లు వెల్లడయ్యాయి.
ప్యాకేజీని మోసగించడానికి డొమైన్‌ను నమోదు చేయడం సరిపోదు, ఎందుకంటే డౌన్‌లోడ్ చేయబడిన కంటెంట్ ఇప్పటికే AURలో అప్‌లోడ్ చేయబడిన చెక్‌సమ్‌కు వ్యతిరేకంగా తనిఖీ చేయబడుతుంది. అయినప్పటికీ, AURలోని దాదాపు 35% ప్యాకేజీలు చెక్‌సమ్ చెక్‌ను దాటవేయడానికి PKGBUILD ఫైల్‌లోని "SKIP" పరామితిని ఉపయోగిస్తున్నట్లు కనిపిస్తున్నాయి (ఉదాహరణకు, sha256sums=('SKIP')ని పేర్కొనండి). గడువు ముగిసిన డొమైన్‌లతో ఉన్న 20 ప్యాకేజీలలో, SKIP పరామితి 4లో ఉపయోగించబడింది.
దాడికి పాల్పడే అవకాశాన్ని ప్రదర్శించడానికి, పరిశోధకులు చెక్‌సమ్‌లను తనిఖీ చేయని ప్యాకేజీలలో ఒకదాని డొమైన్‌ను కొనుగోలు చేశారు మరియు దానిపై కోడ్ మరియు సవరించిన ఇన్‌స్టాలేషన్ స్క్రిప్ట్‌తో కూడిన ఆర్కైవ్‌ను ఉంచారు. అసలు కంటెంట్‌కు బదులుగా, థర్డ్-పార్టీ కోడ్ అమలు గురించి హెచ్చరిక స్క్రిప్ట్‌కి జోడించబడింది. ప్యాకేజీని ఇన్‌స్టాల్ చేసే ప్రయత్నం మోసపూరిత ఫైల్‌ల డౌన్‌లోడ్‌కు దారితీసింది మరియు చెక్‌సమ్ తనిఖీ చేయబడనందున, ప్రయోగాత్మకులు జోడించిన కోడ్‌ని విజయవంతంగా ఇన్‌స్టాలేషన్ మరియు లాంచ్ చేయడానికి దారితీసింది.
గడువు ముగిసిన డొమైన్‌లతో ప్యాకేజీలు:
- ఫైర్‌ఫాక్స్-వాక్యూమ్
- gvim-చెక్‌పాత్
- వైన్-పిక్సీ2
- xcursor-theme-wii
- లైట్జోన్ లేని
- scalafmt-స్థానిక
- కూల్క్-ప్రో-బిన్
- gmedit-bin
- మీసెన్-s-బిన్
- పోలీ-బి-పోయింది
- erwiz
- టాడ్
- kygekteampmmp4
- సర్వీస్వాల్-git
- తాయెత్తు-బిన్
- ఈథర్‌డంప్
- ఎన్ఎపి-బిన్
- iscfpc
- iscfpc-aarch64
- iscfpcx
మూలం: opennet.ru