Hintertür zur Codeausführung in der Ruby-Bibliothek rest-client entdeckt

Am 19. August 2019 meldete [rest-client](https://snyk.io/vuln/rubygems:rest-client), ein einfacher HTTP- und REST-Client für Ruby, eine neue Sicherheitsbedrohung. Das RubyGem-Konto eines Maintainers wurde kompromittiert und ein böswilliger Dritter installierte eine Hintertür zur Codeausführung. Der Exploit betrifft Versionen größer als 1.6.10 und kleiner als 1.7.0.rc1.

Was ist passiert?

Der GitHub-Nutzer [juskoljo](https://github.com/juskoljo) meldete am 19. August ein Problem im Repository von rest-client. Beim Vergleich verschiedener Paketversionen stellte der Nutzer fest, dass Versionen zwischen 1.6.10 und 1.7.0.rc1 Remote-Code ausführen, der auf pastebin.com gehostet wird, und Informationen an eine bösartige Website senden. Durch diesen Exploit konnte der Angreifer die URL der infizierten Hosts, Umgebungsvariablen und weitere vertrauliche Informationen erlangen.

Der Diskussionsverlauf zum Problem auf GitHub ist lesenswert. Er zeigt, wie ein Open-Source-Sicherheitsproblem behoben wurde. Im ersten Kommentar wird erwähnt, dass eine CVE-Nummer beantragt wurde; im zweiten, dass die manipulierte Version entfernt und das kompromittierte Konto des Maintainers gesperrt wurde. Später wird im Thread über die Vorteile der Zwei-Faktor-Authentifizierung für RubyGem-Konten diskutiert.

Wichtig ist, dass die kompromittierte Version ziemlich alt ist. rest-client befindet sich derzeit in der 2.x.x-Reihe, die betroffenen Versionen liegen also eine Hauptversion zurück. Angesichts der Herausforderungen bei der Codepflege gibt es jedoch zweifellos viele Projekte, die für diesen Exploit anfällig sind.

Was sollte ich jetzt tun?

Nutzer der infizierten Versionen sollten so bald wie möglich ein Upgrade durchführen. Version 1.7.0.rc1 enthält eine Fehlerbehebung. Mit Snyk können Sie feststellen, ob Sie die anfälligen Versionen verwenden.

Wenn Sie unsere CLI verwenden, führen Sie einfach $ snyk test in Ihrem Projektverzeichnis aus. Sie erhalten eine Liste aller Sicherheitslücken in Ihren Abhängigkeiten, einschließlich aller in rest-client.

Sie können Ihr Projekt auch ganz einfach über unsere Benutzeroberfläche testen. Probieren Sie es noch heute aus.

Ich empfehle Ihnen außerdem, aus diesem Exploit zu lernen und für jedes Konto, das diese Möglichkeit bietet, die Zwei-Faktor-Authentifizierung zu aktivieren.

Was können wir daraus lernen?

Diese Sicherheitslücke zeigt, wie sinnvoll es ist, die Zwei-Faktor-Authentifizierung für Ihr Paketmanager-Konto zu aktivieren. Sicherheitsbewusste Maintainer sollten sogar in Betracht ziehen, sie für alle mit Push-Zugriff verpflichtend zu machen.

Außerdem verdeutlicht diese Sicherheitslücke, warum es sinnvoll ist, die Veröffentlichung neuer Versionen Ihrer Abhängigkeiten einigermaßen aktuell zu verfolgen. Automatische Updates können ebenfalls problematisch sein. Doch offenbar wollte der Angreifer sozusagen „unter dem Radar fliegen“, indem er eine ältere Version ins Visier nahm.

Eine letzte Erkenntnis aus diesem Vorfall: Bei solchen Problemen muss schnell gehandelt werden. Das Problem betrifft möglicherweise nicht sehr viele Nutzer, doch die Auswirkungen auf die Betroffenen können enorm sein. Es ist wichtig, möglichst viele darüber zu informieren, damit sie das Problem so schnell wie möglich beheben können.

Hoffentlich trägt dieser Beitrag dazu bei, die Nachricht zu verbreiten. Wenn Sie befürchten, eine infizierte Version von rest-client zu verwenden, probieren Sie Snyk noch heute aus! Mit einem Snyk-Test finden Sie heraus, ob Ihr Projekt infizierte Versionen von rest-client enthält, und erfahren mehr über weitere bekannte Sicherheitslücken in Ihren Abhängigkeiten.

Bösartige Pakete in beliebten Open-Source-Repositories kommen immer häufiger vor. Wenn Sie glauben, ein potenziell bösartiges Paket entdeckt zu haben, können Sie es Snyk gemäß unserer Richtlinie zur Offenlegung von Sicherheitslücken in Open-Source-Paketen melden: https://snyk.io/vulnerability-disclosure/