×
bootstrap-sass.png
Backdoor-code gevonden werd toegevoegd in een populaire Ruby bibliotheek gebruikt voor de front-end user interfaces in Ruby en Ruby on Rails applicaties. De kwaadaardige code werd verwijderd via een bibliotheek bijwerken.
De bibliotheek beïnvloed door dit incident is Bootstrap-Sass, een Robijn pakket dat voorziet ontwikkelaars met een Sass-versie van Bootstrap, de meest populaire UI framework voor ontwikkelaars vandaag de dag.
De achterdeur van het bestaan aan het licht kwam, op 27 Maart, de laatste week, wanneer de software ontwikkelaar Derek Barnes gezien dat iemand had verwijderd van een versie van de bibliotheek (Bootstrap-Sass v3.2.0.2) en onmiddellijk een nieuwe versie vrijgegeven, even later, v3.2.0.3.
Wat trok Barnes aandacht aan deze versie was het feit dat de verandering had alleen gemaakt op RubyGems, een populaire opslagplaats voor Ruby bibliotheken, maar niet op GitHub, waar de bibliotheek de broncode wordt beheerd.
Bibliotheek blootgesteld Ruby apps tot uitvoering van externe code
Tijdens een onderzoek van de v3.2.03 code uitgebracht op RubyGems, Barnes gespot wat hij noemde “interessant te kijken code.”
Dit wetboek, wanneer deze is ingesloten in een Ruby of Ruby on Rails (populaire Ruby framework), zou het laden van een cookie-bestand en voer de inhoud, volgens een lid van de cyber-security bedrijf Slecht Pakketten, die bevestigde de kwaadaardige natuur van de bibliotheek update voor ZDNet.
×
bootstrap-sass-backdoor.png
De achterdeur werd verwijderd uit RubyGems op dezelfde dag werd gemeld. De Bootstrap-Sass team ook ingetrokken toegang tot RubyGems voor de ontwikkelaar wiens rekening zij geloofde in het gedrang komt en gebruikt om de kwaadaardige code.
Bootstrap-Sass v3.2.0.4 was ook gisteren vrijgegeven, op zowel RubyGems en GitHub, te verwijderen backdoor restjes. De update moet ook leiden tot een melding voor ontwikkelaars voor het bijwerken van de code om deze nieuwe versie, en verwijder ook alle achterpoorten van bestaande projecten.
Enkele projecten beïnvloed
Echter, het aantal beïnvloed projecten is gering geacht, aangezien de laatste versie van de bibliotheek was de Bootstrap-Sass v3.4.1, en maar weinig ontwikkelaars werden met behulp van de oudere tak.
“Een snelle analyse laat zien dat ongeveer 1,670 GitHub repositories die zijn blootgesteld aan de schadelijke bibliotheek door middel van directe gebruiken,” zei cyber-security bedrijf Snyk, die ook geanalyseerd door de achterdeur. “Dit cijfer aanzienlijk zal toenemen bij het tellen van het gebruik in toepassingen als een transitieve afhankelijkheid.”
De Bootstrap-Sass bibliotheek had gedownload bijna 28 miljoen keer van de RubyGems portal, volgens de officiële RubyGems statistieken; deze zijn echter historische statistieken en niet reflecteren alle downloads voor de backdoored versie. Downloads voor de backdoored v3.2.0.3 staan alleen op 1,477, op het moment van schrijven.
Meer kwetsbaarheid rapporten:
Onderzoeker prints ‘PWNED!’ op honderden GPS-horloges kaarten te wijten aan de niet vastgelegde APICisco mislukte RV320/RV325 patches, routers nog steeds blootgesteld aan hacks
Kwetsbaarheid gevonden in Xiaomi telefoons’ pre-geïnstalleerde beveiliging appWordPress iOS-app gelekt verificatie tokensApache web server bug subsidies root-toegang op shared hosting environmentsResearcher publiceert Google Chrome exploit op GitHubDJI correcties kwetsbaarheid waarmee potentiële hackers spy drones op CNETTop 10 app kwetsbaarheden: Ongepatchte plug-ins en extensies domineren TechRepublic
Verwante Onderwerpen:
Open Source
Beveiliging TV
Data Management
CXO
Datacenters