Dans les nombreuses distributions GNU/Linux, Arch Linux est un cas un peu particulier : pensée pour les utilisateurs qui connaissent bien le système d'exploitation, elle est mise à jour de façon régulière, sans passer par des versions intermédiaires comme Ubuntu ou Debian. Et un pan important d'Arch Linux, l'AUR (Arch User Repository) a eu un gros problème de sécurité récemment. L'AUR est un dépôt qui contient une liste de logiciels, et il est maintenu par la communauté. On peut le comparer à une sorte d'App Store, mais sans validation par les développeurs du système. Et c'est ce dépôt qui a été compromis.
Comme l'explique Next, il n'est habituellement pas activé par défaut, et sa sécurité est très relative, étant donné que n'importe qui peut proposer des paquets à intégrer. L'attaque, détaillée par les chercheurs de chez Sonata, s'est effectuée en plusieurs vagues, mais celle de départ est simple : des malandrins ont récupéré la maintenance de paquets orphelins, c'est-à-dire qui n'étaient plus maintenus ou suivis, pour remplacer une partie des données par un appel à un logiciel malveillant. C'est un des risques des dépôts communautaires : la personne qui a proposé un paquet peut abandonner sa maintenance et la laisser à un autre utilisateur.
Les détails sur les différentes attaques sont disponibles chez nos confrères pour ceux qui aiment ce type d'informations, mais le résultat pratique est que plus de 1 500 paquets ont été modifiés entre le 11 et 14 juin. Le problème principal de cette attaque, c'est qu'il est difficile de vérifier si vous avez été touché (un outil a été développé pour tenter de vérifier une compromission éventuelle). Si c'est le cas, les spécialistes n'ont malheureusement qu'une solution, assez rébarbative : réinstaller totalement le système d'exploitation. En effet, le programme malveillant installé peut avoir modifié de nombreux fichiers et seul un effacement complet semble être efficace. De plus, il est aussi nécessaire de modifier de nombreux mots de passe : selon Next, il cible les données d'« Electron, Slack, Microsoft Teams, Discord, GitHub, npm, Vault, Docker/Podman, SSH, le matériel VPN, les historiques de shell et d’autres secrets locaux de développeurs. »
Cette attaque montre surtout que les dépôts communautaires sont vulnérables par nature : ils reposent sur la confiance que l'on peut avoir en d'autres utilisateurs, sans validation préalable. C'est un défaut qui existe aussi pour des dépôts officiels (ou les App Store au sens large) dans l'absolu, par ailleurs : la sécurité repose en partie sur les vérifications et autres validations par une société ou par des développeurs… de confiance.
