{"id":137258,"date":"2022-05-10T03:55:11","date_gmt":"2022-05-10T05:55:11","guid":{"rendered":"https:\/\/teknomers.com\/fr\/bug-critique-de-prise-de-controle-de-gems-signale-dans-le-gestionnaire-de-packages-rubygems\/"},"modified":"2022-05-10T03:55:17","modified_gmt":"2022-05-10T05:55:17","slug":"bug-critique-de-prise-de-controle-de-gems-signale-dans-le-gestionnaire-de-packages-rubygems","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/bug-critique-de-prise-de-controle-de-gems-signale-dans-le-gestionnaire-de-packages-rubygems\/","title":{"rendered":"Bug critique de prise de contr\u00f4le de Gems signal\u00e9 dans le gestionnaire de packages RubyGems"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Les responsables du gestionnaire de packages RubyGems ont corrig\u00e9 une faille de s\u00e9curit\u00e9 critique qui aurait pu \u00eatre utilis\u00e9e de mani\u00e8re abusive pour supprimer des gemmes et les remplacer par des versions malveillantes dans des circonstances sp\u00e9cifiques.<\/p>\n

“En raison d’un bogue dans l’action Yank, il \u00e9tait possible pour tout utilisateur de RubyGems.org de supprimer et de remplacer certaines gemmes m\u00eame si cet utilisateur n’\u00e9tait pas autoris\u00e9 \u00e0 le faire”, RubyGems mentionn\u00e9<\/a> dans un avis de s\u00e9curit\u00e9 publi\u00e9 le 6 mai 2022.<\/p>\n

RubyGems, comme npm pour JavaScript et pip pour Python, est un directeur charg\u00e9 d’emballage<\/a> et un service d’h\u00e9bergement de gemmes pour le langage de programmation Ruby, offrant un r\u00e9f\u00e9rentiel de plus de 171 500 biblioth\u00e8ques.<\/p>\n

En un mot, la faille en question, identifi\u00e9e comme CVE-2022-29176, permettait \u00e0 quiconque d’extraire certaines gemmes et de t\u00e9l\u00e9charger diff\u00e9rents fichiers avec le m\u00eame nom, le m\u00eame num\u00e9ro de version et diff\u00e9rentes plates-formes.<\/p>\n

Pour que cela se produise, cependant, une gemme devait avoir un ou plusieurs tirets dans son nom, o\u00f9 le mot avant le tiret \u00e9tait le nom d’une gemme contr\u00f4l\u00e9e par l’attaquant, et qui a \u00e9t\u00e9 cr\u00e9\u00e9e dans les 30 jours ou n’a pas eu de mises \u00e0 jour depuis plus de 100 jours. jours.<\/p>\n

“Par exemple, la gemme ‘fournisseur de quelque chose’ aurait pu \u00eatre reprise par le propri\u00e9taire de la gemme ‘quelque chose'”, ont expliqu\u00e9 les propri\u00e9taires du projet.<\/p>\n

Les responsables du projet ont d\u00e9clar\u00e9 qu’il n’y avait aucune preuve que la vuln\u00e9rabilit\u00e9 ait \u00e9t\u00e9 exploit\u00e9e dans la nature, ajoutant qu’ils n’avaient re\u00e7u aucun e-mail d’assistance des propri\u00e9taires de gemmes les alertant de la suppression des biblioth\u00e8ques sans autorisation.<\/p>\n

“Un audit des modifications apport\u00e9es aux gemmes au cours des 18 derniers mois n’a trouv\u00e9 aucun exemple d’utilisation malveillante de cette vuln\u00e9rabilit\u00e9”, ont d\u00e9clar\u00e9 les responsables. “Un audit plus approfondi pour toute utilisation possible de cet exploit est en cours.”<\/p>\n

La divulgation intervient alors que NPM a corrig\u00e9 plusieurs failles de sa plate-forme qui auraient pu \u00eatre militaris\u00e9es pour faciliter les attaques de prise de contr\u00f4le de compte et publier des packages malveillants.<\/p>\n

Le principal d’entre eux est une menace de la cha\u00eene d’approvisionnement appel\u00e9e plantation de paquets qui permet aux acteurs malveillants de faire passer les biblioth\u00e8ques escrocs pour l\u00e9gitimes simplement en les attribuant \u00e0 des mainteneurs de confiance et populaires \u00e0 leur insu.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Les responsables du gestionnaire de packages RubyGems ont corrig\u00e9 une faille de s\u00e9curit\u00e9 critique qui aurait pu \u00eatre utilis\u00e9e de mani\u00e8re abusive pour supprimer des gemmes et les remplacer par des versions malveillantes dans des circonstances sp\u00e9cifiques. “En raison d’un bogue dans l’action Yank, il \u00e9tait possible pour tout utilisateur de RubyGems.org de supprimer et […]<\/p>\n","protected":false},"author":1,"featured_media":137259,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[29066,4168,3976,22,4158,4165,4161,429,31057,21832,4157,4159,4171,4170,4167,4160,4163,4162,7309,1566,62786,4172,4169,5520,4166,4164],"class_list":["post-137258","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-bug","tag-comment-pirater","tag-controle","tag-critique","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dans","tag-gems","tag-gestionnaire","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-logiciel-malveillant-de-ransomware","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-packages","tag-prise","tag-rubygems","tag-securite-informatique","tag-securite-internet","tag-signale","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/137258","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=137258"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/137258\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/137259"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=137258"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=137258"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=137258"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}