OpenNET

Опубликован метод обхода систем изолированного выполнения кода на языке Python, основанный на использовании давно известной ошибки, появившейся в Python 2.7, выявленной в 2012 году и до сих пор не исправленной в Python 3. Ошибка позволяет при помощи специально скомпонованного кода на языке Python инициировать обращение к уже освобождённой памяти (Use-After-Free) в СPython. Изначально предполагалось, что ошибка не представляет угрозы безопасности и лишь в очень редких случаях, как правило искусственно созданных, может привести к аварийному завершения скрипта.

Исследователь безопасности под псевдонимом kn32 заинтересовался проблемой и сумел подготовить рабочий эксплоит, дающий возможность вызвать любую системную команду, не имея прямого доступа к методам вида os.system. Эксплоит реализован на чистом языке Python и работает без импорта внешних библиотек и без установки обработчика "code.__new__". Из hook-ов используется только "builtin.__id__", который обычно не запрещён. С практической стороны предложенный код может применяться для обхода механизмов изоляции в различных сервисах и окружениях (например, в обучающих средах, online-оболочках, встроенных обработчиках и т.п.), допускающих выполнение кода на языке Python, но ограничивающих доступные вызовы и не позволяющих обращаться к таким методам, как os.system.

Предложенный код представляет собой аналог вызова os.system, работающий через эксплуатацию уязвимости в CPython. Эксплоит работает со всеми версиями Python 3 на системах с архитектурой x86-64 и демонстрирует стабильную работу в Ubuntu 22.04, даже при включении режимов защиты PIE, RELRO и CET. Работа сводится к получению из кода на языке Python сведений об адресе одной из функций в исполняемом коде CPython. На основании этого адреса вычисляется базовый адрес CPython в памяти и адрес функции system() в загруженном в память экземпляре libc. В завершении инициируется прямой переход по определённому адресу system c подстановкой указателя первого аргумента на строку "/bin/sh".

Разработчики языка Rust предупредили о выявлении в репозитории crates.io пакета rustdecimal, содержащего вредоносный код. Пакет был основан на легитимном пакете rust_decimal и для распространения пользовался сходством в имени (тайпсквоттинг) с расчётом на то, что пользователь не обратит внимание на отсутствие символа подчёркивания, осуществляя поиск или выбирая модуль из списка.

Примечательно, что указанная стратегия оказалась успешной и по числу загрузок фиктивный пакет лишь немного отстал от оригинала (~111 тысяч загрузок rustdecimal 1.23.1 и 113 тысяч оригинального rust_decimal 1.23.1). При этом большинство загрузок пришлось на безобидный клон, не содержащий вредоносного кода. Вредоносные изменения были добавлены 25 марта в версии rustdecimal 1.23.5, которая до выявления проблемы и блокирования пакета была загружена около 500 раз (предполагается что большая часть загрузок вредоносной версии совершена ботами) и не была использована в зависимостях у других пакетов, присутствующих в репозитории (не исключено, что вредоносный пакет был в зависимостях у конечных приложений).

Вредоносные изменения сводились к добавлению новой функции Decimal::new, в реализации которого содержался обфусцированный код для загрузки с внешнего сервера и запуска исполняемого файла. При вызове функции осуществлялась проверка переменной окружения GITLAB_CI, в случае выставления которой с внешнего сервера загружался файл /tmp/git-updater.bin. Загружаемый вредоносный обработчик поддерживал работу в Linux и macOS (платформа Windows не поддерживалась).

Предполагалось, что вредоносная функция будет выполнена в процессе тестирования на системах непрерывной интеграции. После блокировки rustdecimal администраторы crates.io выполнили анализ содержимого репозитория на наличие похожих вредоносных вставок, но не выявили проблем в других пакетах. Владельцам систем непрерывной интеграции на базе платформы GitLab рекомендуется убедиться, что тестируемые на их серверах проекты не использовали в зависимостях пакет rustdecimal.

GitHub заблокировал репозиторий c официальной документацией проекта SymPy и размещённый на серверах GitHub сайт docs.sympy.org после получения жалобы о нарушении авторских прав компании HackerRank, специализирующейся на проведении конкурсов среди разработчиков и найме программистов. Блокировка произведена на основании действующего в США Закона об авторском праве в цифровую эпоху (DMCA).

После возмущения сообщества компания HackerRank отозвала жалобу и признала, что заявление о нарушении авторских прав было отправлено по ошибке. GitHub снял блокировку с репозитория и сайта SymPy. Чтобы избежать подобных ошибок в дальнейшем руководитель HackerRank объявил о приостановке процесса отправки жалоб DMCA до пересмотра правил определения нарушений. В качестве компенсации компания HackerRank намерена пожертвовать проекту SymPy 25 тысяч долларов.

Проект SymPy развивает Python-библиотеку компьютерной алгебры для символьных вычислений и применения методов дискретной математики, пользующуюся популярностью среди учёных, исследователей и студентов. Претензии HackerRank сводились к обвинению в заимствовании материалов из тестов компании на одной из страниц сайта с документацией к SymPy.

История интересна тем, что, судя по всему, работники компании HackerRank в своё время использовали отрывки из официальной документации SymPy в своих тестах. Для борьбы с нарушениями авторских прав в сети компания HackerRank наняла агентство WorthIT Solutions, представители которого провели рейд по выявлению фактов заимствования материалов HackerRank, нашли пересечение и не разбираясь написали жалобу на нарушение авторских прав против сайта SymPy, в котором была размещена документация, на основе которой составлялись тесты.

Примечательно, что это не первый случай и компания HackerRank ранее уличалась в отправке жалоб, не соответствующих действительности. Например, разработчики PHP в январе получили жалобу на нарушение авторских прав на странице с описанием функции range() на сайте php.net. До этого более 40 репозиториев было заблокировано по жалобе HackerRank в ноябре прошлого года. Некоторые из заблокированных проектов, например, React-Leaderboard, не содержат следов нарушения.

Апрельские жалобы HackerRank не ограничились проектом SymPy и затронули ещё 12 репозиториев (1, 2, 3, 4, 5), которые также были заблокированы. Автор одного из заблокированных репозиториев (shreyash1811.github.io) отправил встречное возражение, в котором не признал нарушение. Тем не менее возражение уже три дня остаётся нерассмотренным, и сайт shreyash1811.github.io по-прежнему заблокирован.

Также заслуживает внимание то, что блокировка была осуществлена несмотря на ранее предпринятые в GitHub действия по предотвращению необоснованных блокировок. Например, GitHub утверждал, что перед блокировкой жалобы будут проходить независимую техническую экспертизу и проверяться юристами, а перед началом блокировки разработчикам будет даваться время, чтобы оспорить претензию или внести исправление в репозиторий. Указанные меры были приняты для жалоб о нарушении 1201 статьи DMCA, которая запрещает обход технических мер защиты, таких как DRM. Разработчики SymPy были обвинены в нарушении статьи 501, охватывающей нарушения авторского права. Тем не менее представители GitHub поверили голословным обвинениям и не предприняли действий по перепроверке факта нарушения, даже в ситуации, когда блокировка касалась популярного и значимого проекта.

Возвращение Ричарда Столлмана в совет директоров Фонда СПО вызвало негативную реакцию со стороны некоторых организаций и разработчиков. В частности, правозащитная организация Software Freedom Conservancy (SFC), директор которой на днях стал лауреатом премии за вклад в развитие свободного ПО, объявила о разрыве всех отношений с Фондом СПО и сворачивании любой деятельности, пересекающейся с данной организацией, в том числе отказалась от предоставленного Фондом СПО финансирования работы участника программы Outreachy (требуемые $6500 SFC выделит из собственных средств).

Организация Open Source Initiative (OSI), занимающаяся проверкой соответствия лицензий критериям Open Source, заявила об отказе участвовать в мероприятиях, в которых будет участвовать Столлман и прекращении сотрудничества с Фондом СПО до тех пор, пока Столлман не будет отстранён от руководства организацией.

Отмечается, что последнее время сообщество стремиться к предоставлению инклюзивной среды, которая приветствует любых участников. По мнению OSI построение такой среды невозможно, если лидирующие позиции занимают те, кто придерживается модели поведение, не соответствующей данной цели. OSI считает, что Столлман не должен занимать руководящие позиции в сообществах, связанных со свободным и открытым ПО. OSI призывает Фонд СПО отстранить Столлмана от участия в жизни организации и предпринять меры для возмещения вреда, который Столлман причинил в прошлом своими словами и действиями.

Дополнительно опубликовано открытое письмо, подписавшие которое требуют отставки всего состава совета директоров Фонда СПО и смещения Столлмана со всех лидирующих позиций, включая руководство проектом GNU. Остальные члены совета преподносятся как многие годы способствовавшие усилению влияния Столлмана. Пока требование не выполнено предлагается прекратить любую поддержку Фонда СПО и участие в проводимых им мероприятиях. Письмо уже подписало почти 700 человек, среди которых лидеры GNOME Foundation, Software Freedom Conservancy и OSI, бывший лидер проекта Debian, бывший директор Apache Software Foundation, а также некоторые известные разработчики, такие как Мэтью Гаррет.

Утверждается, что в прошлом демонстрировал недостойное поведение, женоненавистничество, негативное отношение к транссексуалам и эйблизм (не равное отношение к обычным людям и инвалидам), что в современно мире недопустимо для лидера сообщества. В письме говориться, что окружающие уже достаточно много терпели выходки Столлмана, но таким как он больше нет места в сообществе разработчиков открытого и свободного ПО, а его лидерство может восприниматься как принятие вредной и опасной идеологии.

Примечание: не принимается во внимание, что главная идеология Столлмана - это создание движения свободного программного обеспечения, его принципов и идеалов. Противники же Столлмана ссылаются на неосторожные и откровенные случайные высказывания в прошлом, которые раньше не воспринимались как сегодня.