Arch Linux тимчасово вимкнув прийом пакетів в Arch User Repository

Arch Linux тимчасово призупинив прийом пакетів в Arch User Repository через зростання випадків шкідливих захоплень та небезпечних комітів.

Деталі оголошення від команди Arch Linux

Робін Кандо, від імені команди DevOps Arch Linux, оголосив про обмеження 30 липня. Прийом пакетів залишатиметься недоступним, поки команда вирішує цю ситуацію. Немає жодних оцінок щодо того, коли ця функція буде відновлена.

Проблема з захопленням пакетів в AUR

У AUR пакети з підтримувачами, які припинили свою діяльність, можуть бути позначені як безгоспні. Інший зареєстрований користувач може прийняти пакет, стати його підтримувачем та внести оновлення в інструкції з побудови. Хоча це допомагає підтримувати покинуті пакети, це також дозволяє зловмисникам захоплювати довірені назви пакетів і замінювати їх вміст на шкідливі зміни.

Звіти на поштовому списку AUR 30 липня описували випадки, коли безгоспні пакети були прийняті та змінені так, що їхні джерела завантажували незнайомі двійкові файли. Ця діяльність вплинула на кілька пакетів і продовжувалася через нові облікові записи після блокування попередніх.

Ситуація з механізмом прийому пакетів

Важливо зазначити, що Arch Linux вимкнув лише механізм прийому пакетів, а не перевів усю AUR в режим читання. Існуючі підтримувачі можуть продовжувати працювати над своїми пакетами, але користувачі, які намагаються прийняти безгоспний пакет, повинні чекати, поки обмеження не знімуть.

Команда Arch закликає членів спільноти повідомляти про підозрілі події прийому пакетів або коміти, які ще не були розглянуті. Користувачам також слід бути обережними при установці або оновленні пакетів AUR і перевіряти зміни в PKGBUILD, установочних скриптах, URL-адресах джерел і будь-яких нових завантаженнях двійкових файлів перед продовженням.

Наслідки та обмеження в AUR

Остання активність слідує за більшою інцидентом з безпекою AUR, про який Arch Linux повідомив 12 червня. Проект заявив про високий обсяг шкідливих прийомів і оновлень пакетів і попередив, що створення облікових записів, подання пакетів, оновлення та прийом можуть бути під впливом, поки вводяться заходи з пом’якшення.

Важливо, щоб зрозуміти, що інцидент не має ніякого відношення до офіційних репозиторіїв Arch Linux. AUR є колекцією скриптів для збірки, що керується спільнотою, а не офіційно підтримуваним бінарним репозиторієм від команди Arch, тому розробники давно радили користувачам перевіряти вміст пакетів перед їхнім використанням.

Зараз користувачі можуть продовжувати установку і оновлення пакетів AUR. Arch Linux опублікує наступне оголошення, як тільки функція прийому пакетів буде відновлена.