Arch Linux zieht die Notbremse nach Angriffen auf das AUR

Arch Linux reagiert auf Sicherheitsvorfälle im AUR. Die Übernahme verwaister Pakete bleibt vorerst deaktiviert.

Die Entwickler griffen nach einer Serie verdächtiger Paketübernahmen ein. Hintergrund sind manipulierte Änderungen an bislang verwaisten AUR-Paketen. Bis auf Weiteres können deshalb keine neuen Pakete übernommen werden.

Im Arch User Repository (AUR) lassen sich verwaiste Pakete normalerweise übernehmen. Registrierte Nutzer werden dadurch neue Betreuer eines Pakets. Anschließend dürfen sie die Build Anweisungen aktualisieren und pflegen. Genau dieser Mechanismus wurde zuletzt jedoch mehrfach missbraucht.

Angreifer übernahmen verwaiste Pakete und änderten deren Inhalte. Teilweise verwiesen die Build Skripte anschließend auf unbekannte Binärdateien. Nach Sperrungen tauchten weitere Konten auf und setzten ähnliche Aktivitäten fort.

Die Einschränkung betrifft ausschließlich die Paketübernahme im AUR. Bestehende Betreuer können ihre Pakete weiterhin aktualisieren. Auch das Installieren und Aktualisieren vorhandener AUR-Pakete bleibt grundsätzlich möglich.

Die Arch Entwickler bitten die Community um Aufmerksamkeit. Verdächtige Paketübernahmen oder auffällige Änderungen sollen gemeldet werden. Nutzer sollten außerdem PKGBUILD Dateien, Installationsskripte, Quelladressen und neue Binärdownloads vor jeder Installation sorgfältig kontrollieren.

Der Vorfall steht in einer Reihe früherer Sicherheitsprobleme im AUR. Bereits im Juni meldete Arch Linux zahlreiche manipulierte Paketübernahmen. Betroffen ist ausschließlich das gemeinschaftlich gepflegte AUR. Die offiziellen Paketquellen von Arch Linux sind von den aktuellen Angriffen nicht betroffen.

Weiterführende Informationen finden sich hier und hier.