Arch Linux tạm dừng đăng ký mới AUR do làn sóng gói độc hại
"Arch Linux disabled new AUR account registration after a wave of malicious package adoptions and updates compromised hundreds to over 1,500 user-submitted packages. The core Arch distribution was unaffected, but the community-run AUR was used to push poisoned package updates that attempted to pull in hostile JavaScript and npm dependencies; the team is cleaning up the repository and has left new signups disabled."
Tác động chủ yếu đến chuỗi cung ứng gói trong AUR, nơi các gói bị đầu độc có thể kéo theo dependency JavaScript/npm độc hại. AUR đóng đăng ký mới giúp giảm nguy cơ tiếp tục chèn gói trong giai đoạn khắc phục.
Rủi ro vận hành cho người dùng/đội vận hành phụ thuộc AUR: có thể phát sinh gián đoạn khi tạo tài khoản/đẩy cập nhật gói và cần thời gian rà soát gói đã cài. Phạm vi ảnh hưởng được giảm vì Arch chính thức không bị tác động.
Arch Linux đã tạm dừng đăng ký tài khoản mới trên Arch User Repository (AUR) sau khi ghi nhận một làn sóng commit/gói phần mềm độc hại trong cuối tuần. Theo thông báo ban đầu ngày 12/6, nhóm vận hành AUR đang gặp số lượng lớn các gói bị lợi dụng để “adopt” và cập nhật. Hệ quả là người dùng có thể gặp khó khăn khi mở tài khoản, đẩy cập nhật gói, hoặc tạo/đồng bộ gói mới.
Trong quá trình rà soát, nhóm ước tính khoảng 400 gói do người dùng gửi đã bị xâm phạm, con số này tăng lên hơn 1.500 gói trong suốt cuối tuần. Ngày 14/6, một đợt gói độc hại tinh vi hơn tiếp tục được phát hiện. Đến sáng 15/6, AUR đóng đăng ký mới trong lúc nhóm dọn dẹp kho lưu trữ.
Phần bản phân phối Arch chính thức không bị ảnh hưởng. AUR là kho cộng đồng, không được hỗ trợ chính thức; người dùng được khuyến nghị tự kiểm tra file build trước khi cài đặt và đặc biệt thận trọng với các gói có dấu hiệu kéo vào JavaScript/npm dependency bất thường. Nhóm cũng cho biết đang làm sạch các gói và theo dõi các tác động chuỗi cung ứng liên quan.