Аудит кода выявил 25 уязвимостей в Homebrew

Аудит кода выявил 25 уязвимостей в Homebrew

Аудит кода выявил 25 уязвимостей в Homebrew

В менеджере пакетов Homebrew после аудита обнаружили 25 уязвимостей, которые могли позволить злоумышленникам выполнить вредоносный код и модифицировать сборки бинарников.

В теории эксплуатация этих брешей позволит атакующим контролировать поток CI/CD и вытащить секреты. Проблемы удалось выявить в ходе аудита кода, который провели специалисты Trail of Bits в августе 2023 года.

Ни одна из уязвимостей не получила статус критической, команда разработчиков Homebrew уже устранила 16 брешей и при этом работает над патчами ещё для трёх.

14 получили среднюю степень риска, две — низкую, семь стали просто информационными, а статус ещё двух не раскрывается.

Среди багов есть возможность изменения локального пути (path traversal), выход за пределы песочницы, недостаточные проверки, слабая криптография, возможность повышения прав и использование устаревшего кода.

«Большая поверхность API и CLI Homebrew открывает потенциальному злоумышленнику возможность для локального выполнения кода за пределами песочницы», — пишут специалисты Trail of Bits.

В отчёте (PDF) также упоминается, что у модели безопасности Homebrew нет чёткой документации, а пакеты могут использовать ряд способов для повышения своих прав.

Подпишитесь на новости

Тру-крайм от тех, кто расследовал: что покажут на Неделе кибербезопасности

Реальные киберрасследования превратят в короткий сериал: проект «Киберкультура» меняет постеры на True Кибер Crime. Показ запланирован в рамках Российской недели кибербезопасности 2026, которая пройдёт с 26 по 30 октября. Цифровые угрозы попробуют объяснить через истории.

Как сообщает ГК «Солар», основой серий станут реальные кейсы расследований. Сериал от ИБ-практиков будут транслировать в эфире «Кибербез ТВ» в дни SOC Forum.

Авторы обещают через конкретные сюжеты показать цифровые угрозы и объяснить безопасное поведение. Раньше «Киберкультура» работала преимущественно с постерными выставками в Москве и материалами в метро. Теперь вместо короткого взгляда на плакат организаторы рассчитывают удержать внимание историей.

Другое направление программы — «Кибербез-ликбез». С 5 по 26 октября мероприятия проходят более чем в 20 вузах. Для профильных студентов предусмотрено общение с практиками и знакомство с работой ИБ-компаний. В непрофильных вузах и школах акцент сделают на цифровых угрозах и повседневной безопасности.

Центральное событие Недели — SOC Forum 27-28 октября в московском кластере «Ломоносов». Организатор Недели и соорганизатор форума — «Солар».

RSS: Новости на портале Anti-Malware.ru