Tấn công chuỗi cung ứng Rust đe dọa các pipeline build liên quan đến Solana

Cuộc tấn công không yêu cầu một lỗ hổng hạ nguồn. Theo báo cáo gốc, chỉ cần kéo vào một gói phụ thuộc bị nhiễm độc và chạy Cargo build là đủ để kích hoạt một tải trọng từ xa. Điều đó đã chuyển dịch rủi ro từ khả năng khai thác ứng dụng sang máy trạm của nhà phát triển và môi trường tích hợp liên tục (CI), nơi các bí mật, mã khóa ký và quyền truy cập cơ sở hạ tầng thường tồn tại.

Các nhà nghiên cứu bảo mật từ SlowMist, Socket và StepSecurity đã xác định các bản phát hành độc hại của arrayref@0.3.10, internment@0.8.7 và append-only-vec@0.1.9. Các gói bị nhiễm độc đã đưa vào một gói phụ thuộc proc-macro1 bị typosquatted. Trong quá trình Cargo build, tập lệnh xây dựng của gói phụ thuộc đã tải xuống và thực thi một tải trọng từ xa trước khi nhiều nhóm kịp kiểm tra mã nguồn.

Đội ngũ bảo mật của Rust đã gỡ bỏ các bản phát hành độc hại và khóa tài khoản của người bảo trì, cho thấy khả năng máy tính hoặc thông tin đăng nhập xuất bản của người bảo trì đã bị xâm nhập. Chi tiết đó rất quan trọng vì nó có nghĩa là bề mặt tấn công không phải là một lỗi kỹ thuật đơn lẻ trong mã nguồn crate. Đó là một vụ vi phạm ở cấp độ tài khoản bên trong chính chuỗi cung ứng gói phần mềm.

Tại sao việc tiếp xúc với Solana khiến điều này trở nên khác biệt