Arch Linux приостановил регистрацию в AUR после массовой подстановки вредоносного кода

После первой массовой атаки разработчики попытались защититься через выборочные фильтры, но атакующие обошли их, заменив npm на bun и обфусцировав вызов своего кода в post_install.

Для захвата пакетов использовалась возможность принимать сопровождение над пакетами, оставшимися без сопровождающих (orphaned), без каких-либо ограничений и проверок. В AUR размещено 107 406 пакетов, из которых 13 050 имеют статус orphaned (неделю назад было 15 261). За последнюю неделю обновлено 5 578 пакетов. Регистрация будет возвращена после реализации более действенной защиты.

Linux / Линукс 🥸