AURpocalypse now: a look at the recent AUR attacks

- Arch Linuxはローリングリリース方式を採用するLinuxディストリビューションで、公式リポジトリにないパッケージをコミュニティで管理するのがAUR（Arch User Repository）。AURのPKGBUILDスクリプトを自動でビルド・インストールするラッパーツールとしてyay（Yet Another Yaourt）やparuが広く使われている。 - 2025年に入り、AURにアップロードされた悪意あるPKGBUILDがyayの--askオプションの挙動を悪用し、通常は確認なしにスキップされるファイル削除操作に紛れてユーザーのSSH鍵やパスワード管理データを盗む手口が観測された。同一犯による偽の「aurvote」パッケージがアップロードされ、Clone-and-own（正規パッケージをコピーして悪意コードを追加する手法）でユーザーを狙った。 - AURは本質的に誰でも投稿可能な信頼のチェーンが弱い仕組みであり、公式リポジトリのように署名検証やコードレビューが厳格でない。そのため、今回の事件は「AURのroot権限サンドボックスがない問題」や「ラッパーがユーザーに代わってPKGBUILDを監査なしに実行するリスク」を改めて浮き彫りにした。