Arch Linuxがマルウェア攻撃に対抗するためにAURパッケージの採用を無効化

Arch LinuxがAURパッケージの採用を無効化

Arch Linuxは、Arch User Repository（AUR）で孤児化されたパッケージをユーザーが採用できないようにしました。この措置は、悪意のあるパッケージ採用の急増と、それに続くマルウェアをエコシステムに持ち込むコミットを止めるために、Arch LinuxのDevOpsチームによって取られました。

マルウェアペイロードと攻撃ベクター

攻撃ベクターは、悪意のある攻撃者が新しいアカウントを作成し、孤児化されたパッケージ（メンテナーがいなくなったパッケージ）を採用し、そこに悪意のある更新をプッシュするというものでした。

影響を受けたパッケージの分析により、ペイロードはTorネットワーク上で動作し、コマンドを受信し、幅広いユーザーデータを外部に送信するリモートアクセス型トロイの木馬（RAT）であることが判明しました。このキャンペーンは、6月に同様の攻撃に対抗するために新規アカウント登録を一時停止した以前の試みの後に続くものです。軽微な制限を実装した後、7月13日に登録は再開されましたが、これらの対策は現在の攻撃波を止めるには効果がありませんでした。

セキュリティ対応と緩和策

DevOpsチームは、状況を処理する間、パッケージの採用を一時停止しました。最初の発表ではこれを一時的な措置として位置付けていましたが、AURの信頼モデルにおける重大な脆弱性を浮き彫りにしています。

コミュニティの議論では、AURのセキュリティ体制を改善するためのいくつかの領域が指摘されています：

• アカウント検証: 現在の24時間メール検証トークンは緩すぎると指摘する人がいて、ボットによるアカウント作成を防ぐために短縮または遅延させるべきだという意見があります。
• 自動スキャン: 公開前に新規アップロードに対して自動マルウェアスキャンを実装するよう、AURへの要望が出されています。
• 信頼の連鎖: オープンソースソフトウェアにおける匿名性からの脱却を主張する貢献者もおり、すべてのコード行が検証済みの個人または組織に暗号的に紐付けられ、追跡可能であるべきだと提案しています。

AURの信頼に関するコミュニティの視点

ユーザーやメンテナーは、現在のAURモデルの持続可能性について懸念を表明しています。AURはビルドスクリプト（PKGBUILD）のコミュニティ主導リポジトリとして設計されているため、ユーザーの信頼と「自由放任」的なメンテナンスアプローチに大きく依存しています。

"孤児化されたパッケージの自動採用がうまく機能するとは思えません。機能しているがメンテナンスされていないソースに悪意のあるコードを導入するのがあまりにも簡単です。"

批評家は、採用無効化までの遅れ（他の対策を先に試したこと）が、メンテナーのセキュリティ意識の緊急性の欠如を示している可能性があると指摘しています。一部のユーザーは、より永続的なセキュリティ解決策が実装されるまで、すべてのAURパッケージをアンインストールしたり、AURパッケージの更新を避けたりしています。