Недостаточный контроль уязвимости подлинности данных в hexpm hex (модуль Hex.RemoteConverger) позволяет обойти целостность зависимости с по…

Недостаточный контроль уязвимости подлинности данных в hexpm hex (модуль Hex.RemoteConverger) позволяет обойти целостность зависимости с помощью непроверенных проверок заблокированного файла. Hex хранит контрольные суммы на зависимости в файле mix.lock, чтобы обеспечить воспроизводимые и проверенные целостностью сборки. Однако Hex.RemoteConverger.verify_resolved/2 никогда не выполняет проверку контрольной купе, потому что данные блокировки, полученные Hex.Utils.lock/1, используют имена зависимостей на основе строк, в то время как логика проверки сравнивается с именами на основе атомов. Этот тип несоответствия приводит к тому, что путь проверочного кода становится бесшумно пропущенным. Контрольные суммы по-прежнему проверяются, когда пакеты первоначально загружаются из реестра, но несоответствия между замком и разрешенными зависимостями не обнаруживаются. Злоумышленник, который может влиять на кэшированные пакеты (например, через местное отравление кэша или скомпрометированный реестр), может предоставить модифицированное содержимое зависимостей, которое будет принято без обнаружения. Файл mix.lock бесшумно переписывается с значениями контрольной суммы из реестра, стирая доказательства фальсификации. Эта проблема затрагивает шепот: от 0.16.0 до 2.4.2.