Пое контрол над 14 PHP библиотеки в хранилището на Packagist

Администраторите на хранилището на пакети Packagist разкриха информация за атака, която доведе до контрол върху акаунтите на придружаващите 14 PHP библиотеки, включително такива популярни пакети като instantiator (общо 526 милиона инсталации, 8 милиона инсталации на месец, 323 зависими пакета), sql -formatter (общо 94 милиона инсталации, 800 хиляди на месец, 109 зависими пакета), doctrine-cache-bundle (общо 73 милиона инсталации, 500 хиляди на месец, 348 зависими пакета) и rcode-detector-decoder (общо 20 милиона инсталации, 400 хиляди на месец, 66 зависими пакета).

След компрометиране на акаунтите, нападателят модифицира файла composer.json, добавяйки информация в полето за описание на проекта, че търси работа, свързана с информационната сигурност. За да направи промени във файла composer.json, атакуващият замени URL адресите на оригиналните хранилища с връзки към модифицирани разклонения (Packagist предоставя само метаданни с връзки към проекти, разработени на GitHub; при инсталиране с „инсталиране на композитор“ или „актуализация на композитор“ команда, пакетите се изтеглят директно от GitHub). Например за пакета acmephp свързаното хранилище беше променено от acmephp/acmephp на neskafe3v1/acmephp.

Очевидно атаката е извършена не за извършване на злонамерени действия, а като демонстрация на недопустимостта на небрежно отношение към използването на дублирани идентификационни данни на различни сайтове. В същото време нападателят, противно на установената практика на „етично хакване“, не е уведомил предварително разработчиците на библиотеката и администраторите на хранилището за провеждания експеримент. По-късно нападателят обяви, че след като успее да получи работата, ще публикува подробен доклад за методите, използвани при атаката.

Според данни, публикувани от администраторите на Packagist, всички акаунти, които управляват компрометираните пакети, са използвали лесни за отгатване пароли, без да активират двуфакторно удостоверяване. Твърди се, че хакнатите акаунти са използвали пароли, които са били използвани не само в Packagist, но и в други услуги, чиито бази данни с пароли преди това са били компрометирани и са станали публично достъпни. Заснемането на имейлите на собствениците на акаунти, които са били свързани с изтекли домейни, също може да се използва като опция за получаване на достъп.

Компрометирани пакети:

• acmephp/acmephp (124,860 XNUMX инсталации за целия живот на пакета)
• acmephp/ядро (419,258 XNUMX)
• acmephp/ssl (531,692 XNUMX)
• доктрина/доктрина-кеш-пакет (73,490,057 XNUMX XNUMX)
• доктрина/доктрина-модул (5,516,721 XNUMX XNUMX)
• доктрина/доктрина-монго-odm-модул (516,441 XNUMX)
• доктрина/доктрина-орм-модул (5,103,306)
• доктрина/инстанциатор (526,809,061)
• книга за растеж/книга за растеж (97,568 XNUMX
• jdorn/кеш на файловата система (32,660 XNUMX)
• jdorn/sql-formatter (94,593,846 XNUMX XNUMX)
• khanamiryan/qrcode-detector-decoder (20,421,500 XNUMX XNUMX)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380 XNUMX XNUMX)
• tga/simhash-php, tgalopin/simhashphp (30,555 XNUMX)

Източник: opennet.ru