Rust Tedarik Zinciri Saldırısı Solana Bağlantılı Derleme Süreçlerini Riske Atıyor

Saldırı, ikincil bir güvenlik açığı gerektirmiyordu. Orijinal rapora göre, yalnızca bozulmuş bir bağımlılığı çekmek ve bir Cargo derlemesi çalıştırmak, bir uzak yükü tetiklemek için yeterliydi. Bu, riski uygulama açıklığından; sırların, imzalama anahtarlarının ve altyapı erişiminin bulunma eğiliminde olduğu geliştirici iş istasyonuna ve sürekli entegrasyon ortamına kaydırdı.

SlowMist, Socket ve StepSecurity'den güvenlik araştırmacıları arrayref@0.3.10, internment@0.8.7 ve append-only-vec@0.1.9'un kötü amaçlı sürümlerini tespit etti. Bozulmuş paketler, yazım hatasına dayalı bir proc-macro1 bağımlılığı getirdi. Cargo derlemeleri sırasında, bağımlılığın derleme betiği, birçok ekip kodu henüz inceleyemeden önce bir uzak yük indirdi ve çalıştırdı.

Rust'ın güvenlik ekibi kötü amaçlı sürümleri kaldırdı ve sürdürücü hesabını kilitleyerek sürdürücünün makinesinin veya yayınlama kimlik bilgilerinin muhtemelen ele geçirildiğine işaret etti. Bu ayrıntı önemli çünkü saldırı yüzeyinin crate kodundaki tek seferlik teknik bir kusur olmadığı anlamına geliyor. Bu, paket tedarik zincirinin kendi içindeki hesap düzeyinde bir ihlaldi.

Solana Maruziyetini Farklı Kılan Nedenler

arrayref, Solana ile ilgili bileşenlere dokunan bağımlılık zincirleri de dahil olmak üzere Rust ekosisteminde yaygın olarak kullanılmaktadır. Bir proje grafiğinde bu crate'lerin bulunması, ikincil projelerin tehlikeye girdiği anlamına gelmez. Ancak, kötü amaçlı bir sürüm doğrudan bir güncelleme olmadan geçişli bağımlılıklar yoluyla bir projeye girebileceğinden, birçok ekibin lock dosyalarını ve derleme günlüklerini acilen denetlemesi gerektiği anlamına gelir.