Rust Təchizat Zənciri Hücumu: Milyonlarla Yüklənmiş Crates-lərə ‘Build-Time’ Malware Yerləşdirilib

Rust Təchizat Zənciri Hücumu: Milyonlarla Yüklənmiş Crates-lərə ‘Build-Time’ Malware Yerləşdirilib

Rust Layihəsi, təhlükəyə məruz qalmış bir təminatçı hesabı vasitəsilə yayımlanmış üç geniş istifadə olunan Rust ‘crate’-inin zərərli versiyalarını ‘crates.io’ platformasından silib. Bu hadisə, tərtibat mərhələsində uzaqdan bir ‘payload’ yükləyən və icra edən ‘typosquatted’ asılılığın əlavə edilməsi nəticəsində baş verən ciddi bir təchizat zənciri hücumunu ortaya çıxarıb.

Hücumun mexanizmi, təhlükəsizliyi pozulmuş təminatçının hesabından istifadə edərək, ‘arrayref 0.3.10’, ‘internment 0.8.7’ və ‘append-only-vec 0.1.9’ ‘crate’-ləri üçün yeni ‘release’-lərin yayımlanması ilə gerçəkləşib. Bu zərərli versiyalar, proqramın ‘build’ olunması zamanı sistemə zərərli kod (Malware) daxil edən bir ‘build script’ vasitəsilə fəaliyyət göstərib. Qeyd olunan bütün zərərli ‘release’-lər eyni sahib hesabından yayımlanmışdır ki, bu da bir mərkəzi kompromisin olduğunu göstərir.

Kibertəhlükəsizlik mütəxəssisləri, təchizat zənciri hücumlarının müasir proqram təminatı inkişaf ekosistemləri üçün getdikcə daha böyük təhlükə yaratdığını vurğulayırlar. Bu cür hücumlar, developerlər tərəfindən etibarlı hesab edilən komponentlər vasitəsilə geniş miqyaslı sistemlər və istifadəçilər üçün ciddi risklər yaradır. Rust ekosistemində baş verən bu hadisə, açıq mənbəli layihələrdə belə, komponentlərin təhlükəsizliyinə xüsusi diqqət yetirməyin vacibliyini bir daha ön plana çıxarır.

İstifadəçilərə və developerlərə, qeyd olunan ‘crate’-lərin təhlükəli versiyalarından istifadə etməmələri və mövcud quraşdırmalarını dərhal nəzərdən keçirərək təhlükəsiz, yenilənmiş versiyalara keçmələri tövsiyə olunur. Təhlükəsizlik yoxlamaları və avtomatlaşdırılmış təhlükəsizlik alətlərinin istifadəsi, bu cür risklərin aşkarlanmasında və qarşısının alınmasında mühüm rol oynayır.