Misure straordinarie per la sicurezza su Arch Linux. Con un breve e perentorio comunicato inviato alla mailing list aur-general, Robin Candau (noto con l’alias Antiz, membro del DevOps team di Arch Linux) ha annunciato la sospensione temporanea della funzione di adozione dei pacchetti dismessi su AUR (Arch User Repository).
La decisione è stata presa d’urgenza per arginare una nuova ondata (ricorderete il precedente attacco ad AUR del mese scorso) di pacchetti malevoli introdotti nella piattaforma proprio attraverso l’adozione di pacchetti orfani.
Cosa sta succedendo?
L’AUR è uno dei pilastri dell’ecosistema Arch: una piattaforma guidata dalla community che permette a chiunque di condividere i file di build (PKGBUILD). Quando il manutentore originale di un pacchetto abbandona il progetto, quel pacchetto diventa “orfano” (orphaned).
Fino a questo momento, qualsiasi utente poteva liberamente adottare un pacchetto orfano per prendersene cura e rilasciare nuovi aggiornamenti.
Tuttavia, alcuni attori malevoli stanno sfruttando questa dinamica per condurre attacchi alla supply chain:
- Individuano pacchetti orfani ma ancora popolari o scaricati dagli utenti.
- Ne prendono il controllo tramite la funzione di adozione.
- Inseriscono commit e codice malevolo nei
PKGBUILDaggiornati.
Le misure del team di Arch Linux
Per interrompere l’attacco e mitigare i rischi, il team DevOps ha temporaneamente congelato la possibilità di registrare nuove adozioni.
Dalla mailing list ufficiale:
“A causa dell’attuale afflusso di adozioni malevole di pacchetti e dei successivi commit effettuati tramite AUR, l’adozione dei pacchetti è al momento disabilitata mentre gestiamo la situazione.”
Il team aggiornerà la community appena la situazione tornerà sotto controllo.
Immagine di copertina generata con AI
Di tendenza