Une faute de frappe sous Arch Linux pouvait donner les pleins pouvoirs à un script malveillant

Un « y » de trop. Il suffisait de taper « yyay » au lieu de « yay » pour installer, sur une machine Arch Linux, un paquet qui téléchargeait et exécutait un script distant avec les droits root, c'est-à-dire les pleins pouvoirs sur le système.

L'alerte a été donnée le mardi 13 octobre sur la liste de diffusion des mainteneurs de l'AUR (Arch User Repository), le dépôt communautaire où les utilisateurs d'Arch et de ses dérivées publient leurs recettes d'installation de logiciels. Le titre du message évoque des « centaines » de paquets malveillants mis en ligne en masse. Aucun décompte officiel n'a été publié. Les paquets visaient yay et paru, deux outils très utilisés pour installer des logiciels depuis l'AUR.

Un paquet qui imite parfaitement l'original

Andreas Reichel, mainteneur de l'AUR, a analysé « yyay » avec un outil de détection qui l'a classé malveillant avec 99 % de confiance et a bloqué sa compilation. Selon Help Net Security, le faux paquet reprenait l'adresse et l'archive du vrai yay : le logiciel installé était donc le bon. Le piège était ailleurs, dans le script exécuté par pacman, le gestionnaire de paquets d'Arch, au moment de l'installation ou de la mise à jour.

Les fonctions d'installation y étaient laissées vides, et la commande malveillante placée à côté pour passer inaperçue. Andreas Reichel y voit une tromperie « aimed at casual reviewers and automated scanners » (destinée aux relecteurs pressés comme aux outils de détection automatique). D'après BleepingComputer, le script était récupéré via une copie de la Wayback Machine, l'archive du web, pointant vers un dépôt personnel hébergé sur GitFlic, un service russe.

Que faisait ce script ? Personne ne l'a établi publiquement. Andreas Reichel estime qu'il pourrait servir à voler des identifiants, à installer une porte dérobée ou un rootkit, un programme qui se cache au cœur du système. Rien ne confirme à ce stade que des machines aient été compromises.

Une troisième alerte depuis juin

Un autre mainteneur, DeepChirp, a confirmé la présence du code malveillant, banni le compte « marchos1as » et supprimé tous ses paquets. L'AUR n'en est pas à sa première attaque : en juin, des centaines de paquets, plus de 400 selon BleepingComputer, avaient diffusé un logiciel voleur d'identifiants. Fin juillet, Arch avait suspendu temporairement l'adoption de paquets abandonnés. Une campagne visant npm, baptisée DirtyBlanket et documentée par SafeDep, récupérait du code depuis un dépôt du même nom hébergé sur Codeberg, et un avis OSV la concernant mentionne la même adresse Wayback Machine et GitFlic. Aucun lien n'est établi à ce stade entre les deux opérations.

Les dépôts officiels d'Arch ne sont pas concernés. Le risque vient d'un modèle où n'importe qui peut publier une recette d'installation, comme pour d'autres plateformes communautaires : on l'a vu récemment avec la faille de Docker Hub.

Comment vérifier votre machine

Une simple faute de frappe a pu suffire. Quelques vérifications s'imposent donc sur les postes et serveurs sous Arch :

• lister les paquets qui ne viennent pas des dépôts officiels avec pacman -Qm et rechercher un nom proche de yay ou paru (yyay ou autre variante) ;
• consulter l'historique d'installation dans /var/log/pacman.log à partir de la mi-octobre ;
• avant de construire un paquet AUR, lire son fichier PKGBUILD et ses scripts d'installation (.install), pas seulement le nom ;
• si un faux paquet a été installé, considérer la machine comme compromise : réinstaller depuis un support sain, changer les mots de passe et révoquer les clés SSH et jetons d'accès présents sur le poste.

Reste à savoir ce que contenait réellement le script et combien d'utilisateurs ont fait la faute de frappe avant le 13 octobre.