A menudo, los usuarios instalarán repositorios de paquetes adicionales en sus distribuciones de Linux para poder seguir las versiones "novedosas" del software que no ha sido / nunca será portado a su versión de distribución.
Supongamos que packageA proporcionado por repoA depende de libssl . Originalmente, no se encontraron problemas; Las únicas vulnerabilidades posibles tendrían que ser suministradas directamente por packageA .
Sin embargo, si el propietario del repositorio empaqueta libssl y lo incluye en su propio repositorio (he visto cosas similares en la naturaleza), mi sistema libssl será reemplazado por Su versión compilada de OpenSSL.
Dicho esto, ¿qué tan difícil es hacer esto? ¿Los administradores de paquetes (por ejemplo, apt, yum) proporcionan alguna protección contra esto? Por lo que sabe el usuario, un repositorio malintencionado podría empaquetar un rootkit en un paquete llamado libssl que, de hecho, no proporciona ningún soporte SSL en absoluto. Si entiendo correctamente, si esto sucediera, el usuario no recibiría ninguna indicación de que esto estuviera sucediendo y su máquina se vería comprometida con un simple apt-get upgrade .