Arch Linux suspende la adopción de paquetes en AUR

• Debido a un incremento en adopciones maliciosas y commits fraudulentos, Arch Linux ha decidido desactivar temporalmente la función de adopción de paquetes en su repositorio comunitario (AUR).
• Hasta el momento, la organización no ha establecido una fecha para restablecer este servicio y ha solicitado a la comunidad que continúe reportando cualquier actividad sospechosa para garantizar la seguridad del sistema.

Arch Linux ha desactivado temporalmente la adopción de paquetes en AUR ante una nueva oleada de adopciones maliciosas y commits posteriores. El aviso oficial no fija un plazo para recuperar la función y pide a los usuarios que sigan informando de cualquier actividad sospechosa.

La decisión llega tras un mes y medio especialmente complicado para Arch Linux en materia de seguridad, todo a causa del Arch User Repository, más conocido como AUR:  el repositorio comunitario que tanto aporta a los usuarios, pero también el flanco más susceptible de padecer este tipo de problemas.

Repasando los acontecimientos, fue a mediados de junio cuando nos hicimos eco de una campaña de malware en AUR que habría comprometido más de 400 paquetes. Los atacantes aprovecharon, entre otros mecanismos, el sistema de paquetes huérfanos: proyectos sin mantenimiento activo que podían ser adoptados por otras cuentas y modificados después con instrucciones maliciosas.

Pocos días más tarde, Arch Linux bloqueó el registro de nuevas cuentas como medida de contención. Para entonces, la lista provisional se acercaba ya a las 2.000 entradas, aunque aparecer en ella no significaba que el paquete hubiese sido instalado ni que el sistema estuviera comprometido. Pero nunca antes se había visto una campaña de este tipo y de semejante magnitud, no ya en el entorno de Arch, sino en el de Linux.

Así, la restricción aplicada no fue breve. El registro permaneció desactivado desde el 15 de junio hasta el 13 de julio, cuando el proyecto volvió a permitir las altas tras endurecer el proceso, incluyendo el rechazo de direcciones de correo desechables, la verificación obligatoria mediante un código válido durante 24 horas y el bloqueo temporal de los cambios de dirección durante el periodo de verificación.

Pues bien, apenas dos semanas y media después, los responsables de Arch Linux se han visto obligados a intervenir de nuevo, esta vez sobre las adopciones. No se trata de otro cierre de AUR ni de una política permanente, al menos por ahora, sino de impedir que los atacantes tomen el control de paquetes huérfanos y publiquen cambios maliciosos mientras el equipo gestiona la situación.

Y en esas estamos. O más bien, en esas seguimos. Con el foco puesto, una vez más, en la propia naturaleza de AUR: un repositorio abierto, no oficial y mantenido por los usuarios, que no ofrece las mismas garantías que los repositorios oficiales de Arch Linux. Es un recurso de gran valor, sí, pero exige unas precauciones y un grado de atención a las que no todos los usuarios están dispuestos.

A todo esto, hay alternativas. Cada vez más, aunque por el momento no sea posible reemplazar por completo todo lo que ofrece AUR. Por supuesto, me refiero a los formatos de paquete universales, como Flatpak o Snap, y sus respectivas tiendas, las cuales tampoco están exentas de riesgo, pero parece complicado que llegue a darse algo así.