V Arch User Repository (AUR) bylo kompromitováno přes 400 balíčků

V Arch User Repository (AUR) bylo kompromitováno přes 400 opomíjených balíčků (jejich seznam). Útočník do nich začlenil škodlivý npm balíček atomic-lockfile, který krade citlivá data uživatelů. Publikována byla předběžná analýza spouštěného malwaru deps.

dnes 16:33 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[dnes 17:48 I use Arch BTW]

A na hlavním webu ani na webu AURu žádné oznámení. Bezpečnostní sekce Arch fóra taky nic. Mailing list arch-security trvá na tom, že "no discussions this month". Tohle není poprvé, kdy došlo ke kompromitaci AUR balíčků, a Arch informace o tom zamlčuje. Ze zásady. Super distribuce. Arch doporučuji všem. Už jste si nainstalovali Arch?

[Aleš Kapica]

Ne, ale ty máš čas na to, abys prohledával na louce nahodile kupky sena a hledal v nich jehly?

Pokud na něco takového přijdeš a nechceš aby toho někdo zneužil, nepíšeš takové věci na web, ale kontaktuješ maintainera, ať s tím něco udělá.

Pokud jsi škodolibý, neřekneš mu nic a napíšeš o tom na web.

A pokud sis o tom na tom webu přečetl a chceš toho nějakým způsobem zneužít, tak: Musíš zjistit, který stroj používá zrovna Arch a pak, jestli má nainstalovaný nějaký ten kompromitovaný balíček. Proč by ti to měl někdo ulehčovat tím, že by ti oznamoval jak se jmenuje a jakým způsobem se dá zneužít?

[Peter Golis]

A toten hantivírus sa na to nedá spustiť? Kedysi bol pre Linux nejaký Clamav, myslím že ho teraz sponzoruje Cisco.