Вектор MavenGate позволяет атаковать Java и Android через заброшенные либы

Вектор MavenGate позволяет атаковать Java и Android через заброшенные либы

Вектор MavenGate позволяет атаковать Java и Android через заброшенные либы

Несколько популярных, но заброшенных библиотек, которые используются в Java- и Android-приложениях, помогают организовать атаки на цепочки поставок софта. Вектор получил название MavenGate.

Исследователи из Oversecured проанализировали опасность старых библиотек и пришли к следующим выводам:

«Доступ к заброшенным софтовым проектам можно перехватить через покупку доменных имен. Поскольку уязвимо большинство конфигураций сборок по умолчанию, будет трудно или даже невозможно отследить начало такой цепочки атак».

В результате у киберпреступников есть возможность внедрить вредоносный код в легитимные приложения. Более того, атакующие могут даже вклиниться в процесс сборки с помощью злонамеренного плагина.

По словам специалистов, перед этим вектором атаки уязвимы все Maven-проекты, включая Gradle. Другими словами, проблема касается более 200 компаний, включая Google, Meta (признана экстремистской в России, деятельность запрещена), Signal, Amazon и др.

Apache Maven, как известно, используется для сборки и управления проектами на Java. Соответствующие репозитории могут быть как открытые, так и закрытые, и в последнем случае атакующий способен проверки атаку на цепочку поставок, используя добавленные в репозитории заброшенные библиотеки.

«Злоумышленник может получить доступ к уязвимому groupId при помощи записи DNS TXT в репозитории», — говорится в отчете Oversecured.

Чтобы проверить свои выводы, эксперты загрузили собственную тестовую Android-библиотеку, выводящую сообщение «Hello World!», и две версии JitPack (1.0 была репликой самой библиотеки).

Версия 1.1 представляла собой отредактированную копию, у которой был тот же groupId. Она указывала на GitHub-репозиторий, находящийся под контролем исследователей.

«Большинство приложений не проверяет цифровую подпись зависимостей, а большая часть библиотек даже не публикует ее. Если злоумышленник пожелает максимально долго оставаться незамеченным, будет иметь смысл выпустить новую версию библиотеки с вредоносным кодом и ждать, пока разработчик обновит её».

Из 33 938 доменов к MavenGate оказались уязвимы 6170 (18%).

Sony: разумные покупатели не могли принять цифровую игру за собственность

Sony попросила американский суд отклонить коллективный иск покупателей PlayStation Store и заявила: разумный пользователь не мог считать, что приобретает цифровую игру в собственность. Иск подали четверо жителей Калифорнии.

Они утверждают, что магазин использует формулировки «купить сейчас» и «подтвердить покупку», хотя на деле предоставляет ограниченную отзывную лицензию.

Сообщение об этом размещено мелким и ничем не выделенным шрифтом.

Истцы ссылаются на закон AB 2426, действующий с января 2025 года. Он запрещает рекламировать цифровые товары словами «купить» и «покупка» без заметного предупреждения о том, что пользователь получает лицензию, а не право собственности.

Первым делом Sony потребовала отправить спор в индивидуальный арбитраж. Пользовательское соглашение PlayStation запрещает коллективные иски, если клиент письменно не отказался от этого условия в течение 30 дней. Никто из четырёх истцов этого не сделал.

На случай, если арбитражный щит не сработает, корпорация подготовила запасной довод под заголовком «Разумные потребители не были бы введены в заблуждение».

Sony заявила, что в цифровую эпоху невозможно всерьёз полагать, будто покупатель становится владельцем игры. В качестве доказательства компания указала, что разные люди могут приобрести Resident Evil Requiem и каждому участнику мультиплеера нужна собственная копия.

Интернет быстро нашёл в этой логике дополнительный контент. Участники Consumer Rights Wiki собрали десятки примеров, где сама Sony говорит об играх, которыми пользователь владеет. Такие формулировки встречаются в инструкциях по обновлению версий, описании Share Play и даже отметках «подтверждённый владелец» у отзывов.

Слушание по ходатайству Sony назначено на 1 октября.

RSS: Новости на портале Anti-Malware.ru