L’Arch Linux DevOps Team ha deciso di disabilitare temporaneamente la funzione di adozione dei pacchetti nell’Arch User Repository (AUR) dopo aver rilevato una serie di attività dannose che hanno coinvolto pacchetti orfani. La misura, annunciata il 30 luglio, punta a limitare nuovi tentativi di compromissione senza interrompere completamente il funzionamento dell’AUR.
La decisione arriva in seguito a numerose segnalazioni riguardanti utenti malintenzionati che hanno preso il controllo di pacchetti rimasti senza manutentore, modificandone i file di compilazione per distribuire contenuti potenzialmente pericolosi. Al momento non è stata indicata una data per il ripristino della funzionalità di adozione.
Perché Arch Linux ha bloccato l’adozione dei pacchetti AUR
L’AUR rappresenta una delle caratteristiche più apprezzate di Arch Linux, permettendo alla comunità di condividere migliaia di PKGBUILD per installare software non presente nei repository ufficiali.
Quando un manutentore abbandona un pacchetto, questo viene contrassegnato come “orfano”. In condizioni normali, un altro utente registrato può adottarlo, diventandone il nuovo responsabile e aggiornandone i file necessari alla compilazione.
Proprio questo meccanismo è stato sfruttato negli ultimi giorni. Alcuni account hanno adottato pacchetti orfani introducendo modifiche sospette, come il download di file binari provenienti da sorgenti sconosciute anziché utilizzare il codice sorgente previsto. Dopo il blocco dei primi account coinvolti, altri profili appena creati hanno continuato attività simili.
Per limitare il problema, gli sviluppatori hanno scelto di disabilitare esclusivamente la funzione di adozione. Questa scelta consente ai manutentori già esistenti di continuare normalmente ad aggiornare i propri pacchetti, evitando un blocco totale dell’AUR che avrebbe avuto un impatto molto più ampio sulla comunità.
Cosa cambia per gli utenti e come proteggersi
Per gli utenti di Arch Linux cambia relativamente poco nell’utilizzo quotidiano. I pacchetti già mantenuti continuano a essere aggiornati normalmente e le installazioni dall’AUR rimangono disponibili.
Chi desiderava adottare un pacchetto orfano dovrà invece attendere il ripristino della funzione, che sarà annunciato dagli sviluppatori una volta completate le verifiche e introdotte ulteriori misure di protezione.
Il team di Arch Linux invita inoltre la comunità a collaborare segnalando eventuali adozioni sospette o modifiche anomale ai pacchetti ancora non individuate. La partecipazione degli utenti rappresenta infatti uno degli strumenti più efficaci per individuare rapidamente comportamenti dannosi.
Per maggiore sicurezza è consigliabile verificare sempre alcuni elementi prima di compilare un pacchetto AUR:
- controllare le modifiche apportate al PKGBUILD;
- verificare gli script di installazione;
- esaminare gli URL delle sorgenti scaricate;
- prestare particolare attenzione alla comparsa di nuovi file binari provenienti da indirizzi non conosciuti.
Gli sviluppatori hanno inoltre precisato che questo episodio riguarda esclusivamente l’Arch User Repository e non coinvolge in alcun modo i repository ufficiali di Arch Linux. L’AUR è infatti una raccolta di script gestita dalla comunità e non un archivio ufficiale di pacchetti binari, motivo per cui da sempre viene raccomandato agli utenti di controllare attentamente il contenuto dei PKGBUILD prima della compilazione.
L’attuale vicenda segue un precedente incidente di sicurezza comunicato a giugno, quando il progetto aveva già segnalato un numero elevato di adozioni e aggiornamenti malevoli. La nuova sospensione rappresenta quindi un ulteriore intervento per rafforzare la sicurezza della piattaforma mantenendo, allo stesso tempo, operativo il resto dell’infrastruttura AUR. Per chi usa AUR possiamo utilizzare anche tool in grado di analizzare i pacchetti prima di installarli come ad esempio Aur-Guard e AuraScan.
