ክፍት-ምንጭ-ጥቅሎች

በብሎክ ላይ ያሉ አዳዲስ ስጋቶች፡ በክፍት ምንጭ ፓኬጆች ውስጥ ያሉ ማልዌር

ክፍት ምንጭ ሥነ-ምህዳር የዘመናዊ ሶፍትዌር ልማት መሠረት ሲሆን ፈጠራን እና ትብብርን ያበረታታል። ሆኖም ግን፣ ግልጽነቱ ለተለያዩ የሳይበር ስጋቶች ተጋላጭ ያደርገዋል። የComparitech ዘገባእ.ኤ.አ. በ2023 ከ100 ሚሊዮን በላይ የማልዌር እና የማይፈለጉ አፕሊኬሽኖች ዝርያዎች (PUA) ተለይተዋል፣ ይህም ከማልዌር ጋር የተያያዙ ጥቃቶች አሁንም ከባድ የሳይበር ስጋት እንደሆኑ ያሳያል። 

አዳዲስ የማልዌር ቤተሰቦች በክፍት ምንጭ ፓኬጆች ውስጥ

ማልዌርን ጫን-ታፐር

እንዴት እንደሚሠሩ: ይህ ዓይነቱ ማልዌር የክፍት ምንጭ ፓኬጆችን የመጫን ሂደት ያበላሻል። የጥቅል ጭነት በሚደረግበት ጊዜ ተንኮል አዘል ኮድ ያስገባል፣ ይህም ፓኬጁ ጥቅም ላይ በሚውልበት ጊዜ ሁሉ ሊተገበር ይችላል።

የተበዘበዙ ተጋላጭነቶች፡ ጫን-ታምፐር ማልዌር ተጠቃሚዎች ያላቸውን እምነት ይጠቀማል በክፍት ምንጭ ማከማቻዎች ውስጥ ማስቀመጥ እና በጥቅል ጭነት ሂደት ውስጥ ጥብቅ የደህንነት ፍተሻዎች አለመኖር።

የጥበቃ ስልቶች፡- የተጭበረበረ ማልዌርን ከመጫን ለመከላከል፣ የተረጋገጡ እና የተፈረሙ ፓኬጆችን መጠቀም፣ ለማከማቻ መለያዎች ባለ ሁለት ደረጃ ማረጋገጫን ማንቃት እና የጥገኛዎችን መደበኛ የደህንነት ኦዲት ማድረግ በጣም አስፈላጊ ነው።

የInstall-Tamper Malcious ኮድ ምሳሌ፡ npm የPackage “colors” (2022)

መግለጫ:

የ"ቀለማት" ፓኬጅ በኮንሶል ሎጎች ላይ የቀለም ተፅዕኖዎችን ለመጨመር የሚያገለግል ታዋቂ የnpm ቤተ-መጽሐፍት ነው። በተለያዩ የNode.js አፕሊኬሽኖች ውስጥ በስፋት ጥቅም ላይ ይውላል።

እንዴት እንደሰራ

በ2022 መጀመሪያ ላይ፣ የ "ቀለሞች" ጥቅል በዋናው ፋይል ውስጥ ማለቂያ የሌለው የሉፕ ስክሪፕት ለማካተት በተንኮል ተሻሽሏል። ይህ ለውጥ የተደረገው የፕሮጀክቱ አስተዳዳሪ ራሱ ሲሆን ይህንንም ያደረገው በቂ ድጋፍ ወይም ልገሳ ሳይደረግባቸው ክፍት ምንጭ ፕሮጀክቶችን በኮርፖሬት መጠቀምን በመቃወም እንደሆነ ተነግሯል።

ተጽእኖ:

ይህ ማሻሻያ የተበላሸውን የ"ቀለማት" ስሪት የሚጠቀም ማንኛውም መተግበሪያ እንዲበላሽ አድርጓል፣ ይህም በስራቸው ላይ ጥገኛ በሆኑ በርካታ ንግዶች እና የሶፍትዌር ስርዓቶች መካከል ሰፊ መስተጓጎል እንዲፈጠር አድርጓል።

የተገኙ ትምህርቶች:

ይህ ክስተት በክፍት ምንጭ ፓኬጅ አስተዳደር እምነት ላይ በተመሠረተው ሞዴል ውስጥ ያሉትን ተጋላጭነቶች አጉልቶ ያሳያል። ይህም ጠባቂዎች ሥነ ምግባርን መጠበቅ እንዳለባቸው ያጎላል። standards እና ተጠቃሚዎች በልማት አካባቢያቸው ውስጥ የሶስተኛ ወገን ጥገኝነት ጥልቅ ግምገማዎችን እና ሙከራዎችን እንዲያደርጉ። የ"ቀለሞች" ጉዳይ እንዲሁም ድካምን እና ሥነ ምግባር የጎደለው የበቀል እርምጃን ለመከላከል ክፍት ምንጭ ጠባቂዎችን መደገፍ አስፈላጊ መሆኑን ያጎላል።

ለመጀመሪያ ጊዜ ጥቅም ላይ የዋለ የኋላ በር

እንዴት እንደሚሠሩ: ይህ የኋላ በር ክፍት ምንጭ ፓኬጅ ሲገባ እና ለመጀመሪያ ጊዜ ጥቅም ላይ ሲውል ይነቃቃል። የስርዓት መረጃን ወደ የርቀት አገልጋይ መላክ ወይም ተጨማሪ የክፍያ ጭነቶችን ማውረድ ይችላል።

የተበዘበዙ ተጋላጭነቶች፡ የመጀመሪያ አጠቃቀም የኋላ በሮች አንድ ጥቅል ለመጀመሪያ ጊዜ ጥቅም ላይ ሲውል ያልተረጋገጠ ኮድ አፈፃፀምን ይጠቀማሉ፣ ብዙውን ጊዜ የማይንቀሳቀሱ የትንታኔ መሳሪያዎችን ያልፋሉ።

የጥበቃ ስልቶች፡- አዲስ የገቡ ፓኬጆችን ኮድ መገምገም እና መከታተል እና ያልተለመዱ ባህሪያትን ለመለየት ተለዋዋጭ የትንታኔ መሳሪያዎችን መጠቀም ለመጀመሪያ ጊዜ ጥቅም ላይ ከሚውሉ የኋላ በሮች ለመከላከል ቁልፍ ነገሮች ናቸው።

ለመጀመሪያ ጊዜ ጥቅም ላይ የዋለው የጓሮ በር ምሳሌ፡ የዌብሚን የኋላ በር ክስተት (2019)

መግለጫ:

ዌብሚን ለዩኒክስ የስርዓት አስተዳደር ታዋቂ የድር ላይ የተመሠረተ በይነገጽ ነው። በ2019፣ ሶፍትዌሩ በ... ላይ ጉዳት እንደደረሰበት ታወቀ። የጀርባ በር ከመታወቁ በፊት በኮዱ ውስጥ ከአንድ ዓመት በላይ ቆይቷል።

እንዴት እንደሰራ

የኋላ በር በድብቅ ወደ ዌብሚን ጂቲኤችቲኤች ማከማቻ በተጋረጠ የግንባታ አገልጋይ በኩል አስተዋወቀ። ተንኮል አዘል ኮዱ የሚሰራው አስተዳዳሪው የይለፍ ቃሉን በዌብሚን በይነገጽ ከቀየረ ብቻ ነው። አንዴ ከተነቃ በኋላ፣ የስር መብቶች ያሉት የርቀት ትዕዛዝ ማስፈጸምን ይፈቅዳል።

ተጽእኖ:

የኋላ በር ከ1.882 እስከ 1.921 ባለው የዌብሚን ስሪቶች ተልኳል፣ ይህም ከሶስት ሚሊዮን በላይ ድር ጣቢያዎችን እና አገልጋዮችን ሊጎዳ ይችላል። የኋላ በር ሰርቨሩን ሙሉ በሙሉ መቆጣጠር ለሚችሉ የርቀት አጥቂዎች ስርዓቶችን ከፍቷል፣ ይህም የውሂብ ስርቆት፣ የሰርቨር ጠለፋ እና ተጨማሪ የአውታረ መረብ ስምምነትን አስከትሏል።

የተገኙ ትምህርቶች:

ይህ ክስተት የግንባታ ሂደቶች ሲበላሹ ሊከሰቱ የሚችሉትን ወሳኝ ተጋላጭነት ያጎላል። የግንባታ አገልጋዮችን መጠበቅ እና የሶፍትዌር ልማት የህይወት ዑደትን መደበኛ የደህንነት ኦዲቶችን ማድረግ አስፈላጊ መሆኑን አጉልቶ ያሳያል። የዌብሚን ጉዳይ የሶፍትዌር ዝመናዎች ከታመኑ ምንጮች ቢመጡም እንኳ ጥልቅ ምርመራ ማድረግ አስፈላጊ መሆኑን ያሳያል።

የሩጫ ጊዜ-ኮምፕሮሚዝ ትል

እንዴት እንደሚሠሩ: ይህ ትል በክፍት ምንጭ ጥቅል ውስጥ ተኝቶ የሚኖር ሲሆን በሚሰራበት ጊዜ ውስጥ ይንቀሳቀሳል፣ ምናልባትም ወደ ሌሎች ፓኬጆች እና ስርዓቶች ሊሰራጭ ይችላል።

የተበዘበዙ ተጋላጭነቶች፡ የሩጫ ጊዜ-ኮምፖዚት ዎርምስ አንድ የተጣለ ጥቅል ሌሎችን ሊጎዳ የሚችልበትን የክፍት ምንጭ ፕሮጀክቶችን እርስ በርስ የተሳሰረ ባህሪ ይጠቀማሉ።

የጥበቃ ስልቶች፡- ጥብቅ የሆነ የሩጫ ጊዜ ባህሪ ክትትል እና ያልተለመዱ የማወቂያ ስርዓቶችን መተግበር እንደዚህ አይነት ስጋቶችን ለመለየት እና ለመቀነስ ይረዳል።

የሩጫ ጊዜ-ኮምፕሬሽን P2PInfect ምሳሌ፡ የዝገት አቻ-ለ-እኩያ ራሱን የሚተካ ትል

መግለጫ:

P2PInfect በዩኒት 42 የደመና ተመራማሪዎች የተገኘ የአቻ ለአቻ (P2P) ትል ነው።

ይህ ትል በከፍተኛ ደረጃ ሊሰፋ የሚችል እና ለደመና ተስማሚ በሆነው በሩስት የተጻፈ ሲሆን፣ የመድረክ-ተሻጋሪ ኢንፌክሽኖችን የመፍጠር ችሎታ ያለው ሲሆን በደመና አካባቢዎች ውስጥ በከፍተኛ ሁኔታ ጥቅም ላይ የሚውለውን ታዋቂ ክፍት ምንጭ የውሂብ ጎታ መተግበሪያ የሆነውን ሬዲስን ኢላማ ያደርጋል።

እንዴት እንደሚሰራ:

የመጀመሪያ ብዝበዛ፡

  • P2PInfect በLua sandbox የማምለጫ ተጋላጭነትን፣ CVE-2022-0543፣ ለአደጋ ተጋላጭ በሆኑ የRedis አጋጣሚዎች ይጠቀማል።
  • ተጋላጭነቱ ትሉ በሉአ ስክሪፕት አካባቢ ውስጥ የዘፈቀደ ኮድ እንዲፈጽም ያስችለዋል።

የጭነት አቅርቦት፡

  • የመጀመሪያ መዳረሻ አንዴ ከተገኘ፣ P2PInfect የP2P ግንኙነትን ወደ ትልቅ አውታረ መረብ የሚያቋቁም የመጀመሪያ የክፍያ ጫና ያጣል።
  • ከዚያም ትሉ ተጨማሪ ተንኮል አዘል ባይነሪዎችን ይጎትታል፣ ይህም በስርዓተ ክወና ላይ የተመሰረቱ ስክሪፕቶችን እና የፍተሻ ሶፍትዌሮችን ያካትታል።

መስፋፋት:

  • በበሽታው የተያዘው የሬዲስ አጋጣሚ ከP2P አውታረ መረብ ጋር ይቀላቀላል፣ ይህም ለወደፊቱ ለተጎዱ የሬዲስ አጋጣሚዎች ሌሎች የክፍያ ጭነቶችን ይሰጣል።
  • P2PInfect የሊኑክስ እና የዊንዶውስ ኦፐሬቲንግ ሲስተሞችን ኢላማ ያደርጋል፣ ይህም ከሌሎች ትሎች የበለጠ ሊሰፋ የሚችል እና ኃይለኛ ያደርገዋል።

ተፅዕኖ:

የክፍል 42 ተመራማሪዎች ባለፉት ሁለት ሳምንታት ውስጥ ከ307,000 በላይ ልዩ የሆኑ የሬድስ ስርዓቶችን ለይተው አውቀዋል፣ ከእነዚህም ውስጥ 934ቱ ለዚህ የP2P ትል ዝርያ ተጋላጭ ሊሆኑ ይችላሉ።

P2PInfect ይህንን ተጋላጭነት በመጠቀም ሊፈጽሙት የሚችሉት ከባድ የጥቃት ስጋት ተዋናዮች ምሳሌ ሆኖ ያገለግላል።

የተገኙ ትምህርቶች:

ገንቢዎች ፓኬጆቻቸውን መገምገም እና ማረጋገጥ፣ ጥገኝነታቸውን ወቅታዊ ማድረግ እና ስለ ፓኬጅ ስሞች እና ምንጮች መጠንቀቅ አለባቸው።

እንዲህ ያሉ የአቅርቦት ሰንሰለት ጥቃቶችን ለመከላከል ጥንቃቄ ማድረግና ቀጣይነት ያለው ክትትል ማድረግ አስፈላጊ ነው።

የጥገኝነት-ሰንሰለት ጥቃት

እንዴት እንደሚሠሩ: አጥቂዎች አንድን ጥቅል በጥገኝነት ሰንሰለት ውስጥ ያበላሻሉ፣ ይህም በእሱ ላይ የሚተማመኑትን ሌሎች ፓኬጆችን ሁሉ ይነካል።

የተበዘበዙ ተጋላጭነቶች፡ ይህ ጥቃት በጥቅል ጥገኝነቶች ላይ ያለውን እምነት እና የአንድ የተጣለ ፓኬጅ የመውደቅ ውጤት ይጠቀማል።

የጥበቃ ስልቶች፡- የሶፍትዌር ቅንብር ትንተና መሳሪያን በመጠቀም ክፍት ምንጭ ክፍሎችን እና ጥገኖቻቸውን መከታተል እና ማስተዳደር ከጥገኝነት-ሰንሰለት ጥቃቶች ሊከላከል ይችላል።

የጥገኝነት-ሰንሰለት ጥቃት ምሳሌ npm Package “event-stream” (2018): የአቅርቦት ሰንሰለት ስምምነት

መግለጫ:

በ2018፣ ታዋቂው የnpm ጥቅል ተብሎ የሚጠራው እ.ኤ.አ. "የክስተት ዥረት" አደጋ ላይ ወድቋል.

ጥቃቱ ያልተጠረጠሩ ተጠቃሚዎችን የሚጎዳ የጥገኝነት ሰንሰለት ማጭበርበርን ያካትታል።

እንዴት እንደሰራ

የመጀመሪያ ስምምነት፡

  • አጥቂው “ፍላትማፕ-ዥረት” የሚባል ብዙም ጥቅም ላይ የማይውል ጥገኝነት ተቆጣጠረ።
  • ተንኮል አዘል ኮድ ወደ “ፍላትማፕ-ዥረት” ገብተዋል።

መስፋፋት

  • የተጠለፈው “ፍላትማፕ-ዥረት” በስፋት ጥቅም ላይ በሚውለው የጥቅል “ክስተት-ዥረት” ውስጥ እንደ ጥገኝነት ተካትቷል።
  • ብዙ ፕሮጀክቶች ሳያውቁት የተጎዳውን "የክስተት-ዥረት" ፓኬጅ ጭነዋል።

ተጽእኖ:

አጥቂው ከማይጠረጠሩ ተጠቃሚዎች ሚስጥራዊ መረጃዎችን ማግኘት ችሏል።

ይህ ክስተት በአቅርቦት ሰንሰለት ጥገኝነት የሚደርሱ ጥቃቶችን አደጋዎች አጉልቶ አሳይቷል።

የተገኙ ትምህርቶች:

ገንቢዎች ፓኬጆቻቸውን መገምገም እና ማረጋገጥ፣ ጥገኝነታቸውን ወቅታዊ ማድረግ እና ስለ ፓኬጅ ስሞች እና ምንጮች መጠንቀቅ አለባቸው።

እንዲህ ያሉ የአቅርቦት ሰንሰለት ጥቃቶችን ለመከላከል ጥንቃቄ ማድረግና ቀጣይነት ያለው ክትትል ማድረግ አስፈላጊ ነው።

ክፍት ምንጭ ፕሮጀክቶችዎን በ Xygeni ይጠብቁ

እንደተብራራው፣ ክፍት ምንጭ ሥነ-ምህዳር ባለ ሁለት አፍ ሰይፍ ነው - ፈጠራን የሚያበረታታ ቢሆንም፣ ሶፍትዌርዎን ለከፍተኛ አደጋዎች ያጋልጣል፣ ለምሳሌ ተንኮለኛ ጫን ማልዌር፣ የመጀመሪያ አጠቃቀም የኋላ በሮች እና የጥገኝነት ሰንሰለት ጥቃቶች። የእነዚህ ስጋቶች ውጤቶች ከባድ ናቸው፣ እና የሶፍትዌር አቅርቦት ሰንሰለትዎን መጠበቅ ወሳኝ ነው።

ዚጌኒ ክፍት ምንጭ ፕሮጀክቶችዎን ከእነዚህ እየተሻሻሉ ካሉ ስጋቶች ለመከላከል የተነደፉ ኃይለኛ መፍትሄዎችን ያቀርባል። መሳሪያዎቻችን ጥገኝነቶችዎ ደህንነታቸው የተጠበቀ እንዲሆኑ፣ ሶፍትዌርዎን የመቋቋም አቅም እንዲኖራቸው እና የእድገት ሂደትዎ ለስላሳ እንዲሆን ያረጋግጣሉ።

የበለጠ ብልህ አድርግ ደcisአዮኖች ከአጠቃላይ የጥቅል ትንተና ጋር

የክፍት ምንጭ ፓኬጆችን ውስብስብነት ከግምት ውስጥ በማስገባት፣ በመረጃ ላይ የተመሰረተ ምርጫ ማድረግ ወሳኝ ነው። የተሟላ የጥቅል ትንተና የክፍት ምንጭ ክፍሎችን ደህንነት በፍጥነት እንዲገመግሙ ያስችልዎታል። በእኛ መድረክ፣ ደህንነታቸው ያልተጠበቁ ጥገኝነቶችን አደጋዎች በማስወገድ ደህንነታቸው የተጠበቀ እና አስተማማኝ ፓኬጆችን በልበ ሙሉነት መምረጥ ይችላሉ።cisionዎችን አስቀድመው ሲፈጥሩ፣ የጊዜን ፈተና የሚቋቋሙ ጠንካራ እና የበለጠ ደህንነታቸው የተጠበቀ መተግበሪያዎችን ይገነባሉ።

በእውነተኛ ጊዜ የማልዌር ማወቂያ አማካኝነት በንቃት ይከላከሉ

ወደ ስርዓትዎ ውስጥ ከገቡ በኋላ ለሚደርሱ ስጋቶች ምላሽ መስጠት ብቻውን በቂ አይደለም። ለዚህም ነው Xygeni የሚያቀርበው በእውነተኛ ጊዜ የማልዌር ማወቂያ እንደ ዜሮ-ቀን ማልዌር ያሉ ስጋቶችን እንደታዩ ወዲያውኑ ለመያዝ። ስርዓታችን ተንኮል አዘል ኮድን ወዲያውኑ ያግዳል፣ ይህም ወደ ልማት አካባቢዎ እንዳይደርስ ይከላከላል። በፍጥነት እርምጃ በመውሰድ፣ ፕሮጀክቶችዎ ከመጀመሪያው ጀምሮ ደህንነታቸው የተጠበቀ መሆኑን ያረጋግጣሉ።

የአቅርቦት ሰንሰለትዎን ቀጣይነት ባለው ክትትል ይጠብቁ

በፈጣን የሶፍትዌር ልማት ዓለም ውስጥ፣ ለውጦች ያለማቋረጥ ይከሰታሉ። ቀጣይነት ያለው የአቅርቦት ሰንሰለት ክትትል እያንዳንዱን ዝመና በንቃት ይከታተላል። የእኛ ቅድመ ጥንቃቄ የተሞላበት ጥበቃ በጥገኝነትዎ ላይ አጠራጣሪ ለውጦችን ፈልጎ ያግዳል፣ ይህም የተበላሹ ፓኬጆች ወደ ፕሮጀክቶችዎ እንዳይገቡ ይከላከላል። በXygeni፣ ደህንነቱ የተጠበቀ እና አስተማማኝ የአቅርቦት ሰንሰለትን ይጠብቃሉ፣ ሶፍትዌርዎን ሊከሰቱ ከሚችሉ አደጋዎች ይጠብቃሉ።

በ Xygeni አማካኝነት ደህንነትዎን ይቆጣጠሩ

እንዳየኸው፣ በክፍት ምንጭ ሶፍትዌር ውስጥ ያሉት አደጋዎች እውነተኛ እና እያደጉ ናቸው። የXygeni የደህንነት መፍትሄዎች እነዚህን አደጋዎች በብቃት ለማስተዳደር የሚያስችሉዎትን መሳሪያዎች ይሰጡሃል። በቅድመ ምርመራ፣ ሁሉን አቀፍ የጥቅል ትንተና እና ቀጣይነት ያለው ክትትል ላይ በማተኮር፣ ሶፍትዌርዎን ከሚከሰቱ ስጋቶች መጠበቅ ይችላሉ። ክፍት ምንጭ ፕሮጀክቶችዎን ለአደጋ የተጋለጡ አይተዉ - የደህንነት ስትራቴጂዎን ዛሬውኑ በXygeni ያሻሽሉ እና ሶፍትዌርዎ እና ውሂብዎ ደህንነታቸው የተጠበቀ መሆኑን በማወቅ የአእምሮ ሰላም ያግኙ።

ክፍት ምንጭ ፕሮጀክቶችዎን ደህንነት ለመጠበቅ ዝግጁ ነዎት? Xygeni ከሚያስከትሉት አደጋዎች ቀድመህ እንድትቆይ እና ቀጥሎ የሚመጣውን ማንኛውንም ነገር መቋቋም የሚችል ጠንካራ ሶፍትዌር እንድትገነባ ይርዳህ።

የዚጄኒን ባህሪያት ያስሱ!
የቪዲዮ ማሳያችንን ይመልከቱ
sca-tools-software-composition-analyse-tools
የሶፍትዌር አደጋዎችዎን ቅድሚያ ይስጡ፣ ያስተካክሉ እና ይጠብቁ
ነፃ መለያ ያግኙ።
ምንም ዱቤ ካርድ አያስፈልግም።

የሶፍትዌርዎን ልማት እና አቅርቦት ደህንነት ይጠብቁ

ከ Xygeni Product Suite ጋር