RubyGems — der Standard-Paketmanager für die Programmiersprache Ruby — hat nach einem Vorfall, der als groß angelegte bösartige Attacke beschrieben wird, vorübergehend die Registrierung neuer Accounts gesperrt. Nach derzeit vorliegenden Informationen sind Hunderte von Paketen an dem Angriff beteiligt. Alle, die Ruby-Abhängigkeiten in ihren Projekten nutzen, sollten kürzlich hinzugefügte Pakete überprüfen und Abhängigkeitsupdates einfrieren, bis sich die Lage geklärt hat.

Was ist passiert

Auf der Registrierungsseite von RubyGems wird die Meldung angezeigt: «New account registration has been temporarily disabled» — die Neuregistrierung von Accounts ist vorübergehend deaktiviert. Maciej Mensfeld, der das Unternehmen Mend.io vertritt, teilte in dem sozialen Netzwerk X mit, dass die Plattform mit einem «großen bösartigen Angriff» konfrontiert sei, an dem seinen Angaben zufolge Hunderte von Paketen beteiligt sind.

Dabei ist ein wichtiger Kontext zu betonen: Zum Zeitpunkt der Veröffentlichung wurde kein offizieller Incident-Report von RubyGems oder Ruby Central veröffentlicht. Die Informationen zur Art und zum Umfang des Angriffs beruhen auf einem einzigen Beitrag in einem sozialen Netzwerk. Die bloße Aussetzung der Registrierung ist bestätigt und direkt beobachtbar, doch Gründe und Details des Angriffs wurden bislang nicht unabhängig verifiziert.

Analyse des Angriffsvektors

Die Aussetzung der Registrierung neuer Accounts ist eine typische Reaktionsmaßnahme auf Angriffe vom Typ «Typosquatting» oder auf eine massenhafte Veröffentlichung bösartiger Pakete über frisch angelegte Konten. Eine solche Taktik ist aus Vorfällen in den Ökosystemen von npm und PyPI gut bekannt: Angreifer registrieren zahlreiche Accounts und veröffentlichen Pakete mit Namen, die beliebten Bibliotheken ähneln, oder mit besonders attraktiven Bezeichnungen, in der Hoffnung auf Unachtsamkeit von Entwicklern bei der Installation von Abhängigkeiten.

Technische Details des Angriffs — konkrete Namen bösartiger Pakete, Arten der Exploits, Indikatoren einer Kompromittierung — sind derzeit nicht offengelegt. CVE-Identifikatoren wurden nicht vergeben. Die Attribution des Angriffs ist unbekannt.

Kontext: Angriffe auf Software-Lieferketten

Der Vorfall fügt sich in den anhaltenden Trend wachsender Angriffe auf Software-Lieferketten über offene Paket-Ökosysteme ein. Paketregister sind ein attraktives Ziel: Die Kompromittierung einer einzigen populären Bibliothek kann sich kaskadenartig auf Tausende von Projekten auswirken. Es ist jedoch wichtig, diesen Vorfall nicht mit anderen Kampagnen zu vermengen — es gibt keine direkten Hinweise auf eine Verbindung zu bekannten Gruppierungen.

Einschätzung der Auswirkungen

Am stärksten gefährdet sind:

• Entwickler und Teams, die in den letzten Tagen neue Ruby-Abhängigkeiten hinzugefügt haben — insbesondere wenig bekannte oder erst kürzlich veröffentlichte Pakete
• CI/CD-Pipelines, die Abhängigkeiten automatisch auflösen, ohne Versionen strikt zu fixieren (kein strenges Gemfile.lock)
• Neue Projekte, die im Zeitraum des Angriffs initialisiert wurden und Abhängigkeiten aus dem öffentlichen Register einbinden

Die Blockierung der Registrierung betrifft zudem vorübergehend legitime Nutzer, die keinen Account anlegen können, um eigene Pakete zu veröffentlichen.

Empfehlungen

1. Prüfung der Abhängigkeiten: Überprüfen Sie Gemfile.lock auf Pakete, die in den letzten Tagen hinzugefügt oder aktualisiert wurden. Achten Sie auf unbekannte Namen, Pakete mit sehr wenigen Downloads und einem sehr frischen Veröffentlichungsdatum.
2. Updates einfrieren: Verzichten Sie vorerst auf bundle update, ohne zuvor die Änderungen im Abhängigkeitsbaum zu prüfen.
3. Versionen fixieren: Stellen Sie sicher, dass Gemfile.lock im Versionskontrollsystem eingecheckt ist und dass CI/CD-Pipelines bundle install --frozen verwenden, um unerwartete Updates zu verhindern.
4. Monitoring: Verfolgen Sie die offiziellen Kanäle von RubyGems und Ruby Central, um den Incident-Report mit konkreten Namen kompromittierter Pakete und Indikatoren einer Kompromittierung zu erhalten.
5. Verwendung privater Spiegel: Für kritische Projekte sollten Sie den Einsatz eines privaten Registrys oder Proxys (z. B. Gemstash) in Erwägung ziehen, der geprüfte Paketversionen cached.

Bis zur Veröffentlichung eines offiziellen Berichts von RubyGems mit einer Liste der betroffenen Pakete besteht die wichtigste Maßnahme darin, die in den letzten Tagen hinzugekommenen Ruby-Abhängigkeiten zu überprüfen, Gemfile.lock zu fixieren und Abhängigkeiten nicht automatisch zu aktualisieren. Sobald konkrete Indikatoren einer Kompromittierung vorliegen, sollten diese umgehend gegen den eigenen Abhängigkeitsbaum geprüft werden.