V Arch User Repository (AUR) bylo kompromitováno přes 400 balíčků

V Arch User Repository (AUR) bylo kompromitováno přes 400 opomíjených balíčků (jejich seznam). Útočník do nich začlenil škodlivý npm balíček atomic-lockfile, který krade citlivá data uživatelů. Publikována byla předběžná analýza spouštěného malwaru deps.

12.6. 16:33 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

[I use Arch BTW]

A na hlavním webu ani na webu AURu žádné oznámení. Bezpečnostní sekce Arch fóra taky nic. Mailing list arch-security trvá na tom, že "no discussions this month". Tohle není poprvé, kdy došlo ke kompromitaci AUR balíčků, a Arch informace o tom zamlčuje. Ze zásady. Super distribuce. Arch doporučuji všem. Už jste si nainstalovali Arch?

[Aleš Kapica]

Ne, ale ty máš čas na to, abys prohledával na louce nahodile kupky sena a hledal v nich jehly?

Pokud na něco takového přijdeš a nechceš aby toho někdo zneužil, nepíšeš takové věci na web, ale kontaktuješ maintainera, ať s tím něco udělá.

Pokud jsi škodolibý, neřekneš mu nic a napíšeš o tom na web.

A pokud sis o tom na tom webu přečetl a chceš toho nějakým způsobem zneužít, tak: Musíš zjistit, který stroj používá zrovna Arch a pak, jestli má nainstalovaný nějaký ten kompromitovaný balíček. Proč by ti to měl někdo ulehčovat tím, že by ti oznamoval jak se jmenuje a jakým způsobem se dá zneužít?

[Peter Golis]

A toten hantivírus sa na to nedá spustiť? Kedysi bol pre Linux nejaký Clamav, myslím že ho teraz sponzoruje Cisco.

[trubicoid2]

hantavírus?

[Peter Golis]

Hantivírus, či antivírus. Furt to premenovávajú, posledne sa niečo podobné volalo EDR

[I use Arch BTW]

Tak to hodili do arch-announce mailing listu i na hlavní web. Beru tedy zpět. Uživatelé tentokrát byli informování. Jen tak dál.

[Bugsa]

Ano, Arch mám na hodně strojích, ale nepoužívám nic z AUR. Děkuji za optání.

[Max]

Já používám věci z AUR, ale poctivě si prolézám build před instalací. Tak to prostředí bylo prostě postaveno. Maximálně svoboda, ale pak si čloěk musí dávat majzla.
Zdar Max

[MrG]

poctivě si prolézám build před instalací

:D co presne kontrolujes? (jinak dobry tema pro Hovorku)

[Max]

Build proces, zda se balíček stahuje z orig zdroje a zda není součástí nějaký script, co ten zdroják modifikuje. Pokud je, tak kouknu, co mění. Prostě takový základ. Kontrola je otázka chvilky, protože PKGBUILD je krátký a jednoduchý.
Zdar Max

[hm]

ale no co jsem to jenom rikal hosanci gdo jsi to pamatuje hlaste jse

[Tommy_CZ]

Už přes 1900 balíčků...

[Peter Golis]

Antone Pavloviči, a není to málo?

[P.]

zítra 19000 paranoiku

[Tommy_CZ]

Nebreč, křupane.

[Max]

Ještě existuje script aur-malware-check, zda byl systém kompromitován.
Zdar Max

[koroptev]

nedavno se tu nekdo posmival npm

[Max]

Já se klidně přiznám a nestydím se za to. Analogie to ale není. Já si těch pár řádků a zdroje ověřím rychle, ale devík, co si naladí hafec js se stovkama závislostí a milionama řádku kódu ověří reálně tušku a je mu jedno, že mu to všechno svítí jak Vánoční stromeček.
Zdar Max