RubyGems 包管理器中存在严重的 Gems 接管漏洞

admin 2022年5月10日22:02:49安全漏洞评论2 views1347字阅读4分29秒阅读模式

RubyGems 包管理器中存在严重的 Gems 接管漏洞 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士


RubyGems 包管理器的维护人员修复了一个严重漏洞 (CVE-2022-29176),在一定条件下,它本可被滥用于删除gems 并以恶意版本取而代之。
RubyGems 包管理器中存在严重的 Gems 接管漏洞

2022年5月6日,RubyGems 发布安全公告指出,“由于 yank 操作中存在一个漏洞,因此任何 RubyGems.org 用户都能越权删除并取代某些gems。”

就像 npm 之于 JavaScript以及pip 之于 Python,RubyGems 是一款 Ruby编程语言的包管理器和gem托管服务,是含有超过17.15万个库的存储库。

简言之,该漏洞可使任何人拉取某些gem 并上传名称一致、版本号相同和平台不同的不同文件。不过,要实现这一目的,gem 的名称中需要具有一个或多个破折号,而破折号前面是受攻击者控制的gem的名称,这个名称是30天内创建的或者在100多天内未更新。

项目所有人解释称,“例如,’something-provider’ 这个gem 本可被’something’ 这一gem 接管。“

维护人员指出,目前尚未发现该漏洞已遭在野利用,且并未收到gem 所有人的支持邮件警告他们在未经授权的情况下删除这些库。维护人员表示,“从对18个月依赖gem变更的审计来看,并未发现该漏洞遭恶意利用的迹象。目前正在对任何使用该exploit的可能情况进行更深入的审计。”

前不久,NPM 修复了多个缺陷,它们可被用于发动多种接管账户攻击并发布恶意包。其中最主要的攻击是包植入攻击,恶意人员仅需在维护人员不知情的情况下将这些恶意库分配给受信任的热门维护人员,就可将恶意库当作合法库进行传递。




代码卫士试用地址:https://codesafe.qianxin.com
开源卫士试用地址:https://oss.qianxin.com

RubyGems 包管理器中存在严重的 Gems 接管漏洞








推荐阅读

在线阅读版:《2021中国软件供应链安全分析报告》全文

谈谈现代软件供应链的发展及攻击应对方法

700多个恶意误植域名库盯上RubyGems 仓库

RubyGems出现重定向木马漏洞 可影响数百万用户

开源组件 Netatalk 存在多个严重漏洞,Synology 多款产品受影响

开源组件存在高危漏洞,可导致在谷歌 VirusTotal 执行RCE

开源组件11年未更新,严重漏洞使数百万安卓按设备易遭远程监控

开源的 Snort 入侵检测系统中存在高危漏洞

开源工具 PrivateBin 修复XSS 漏洞

开源网站内容管理系统Micorweber存在XSS漏洞

开源内容管理系统Drupal 修复信息泄露和 XSS 漏洞

刚刚,WordPress 内容管理系统核心被曝未修复漏洞

内容 管理系统逐浪修复多个严重漏洞




原文链接

https://thehackernews.com/2022/05/critical-gems-takeover-bug-reported-in.html

题图:Pixabay License



本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。




RubyGems 包管理器中存在严重的 Gems 接管漏洞
RubyGems 包管理器中存在严重的 Gems 接管漏洞

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   RubyGems 包管理器中存在严重的 Gems 接管漏洞 觉得不错,就点个 “在看” 或 "” 吧~

原文始发于微信公众号(代码卫士):RubyGems 包管理器中存在严重的 Gems 接管漏洞

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年5月10日22:02:49
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  RubyGems 包管理器中存在严重的 Gems 接管漏洞 http://cn-sec.com/archives/995870.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: