প্যাকেজিস্ট সংগ্রহস্থলে 14টি পিএইচপি লাইব্রেরির নিয়ন্ত্রণ নেওয়া হয়েছে

প্যাকেজিস্ট প্যাকেজ রিপোজিটরির অ্যাডমিনিস্ট্রেটররা একটি আক্রমণ সম্পর্কে তথ্য প্রকাশ করেছে যার ফলে 14টি পিএইচপি লাইব্রেরির অ্যাকাউন্ট নিয়ন্ত্রণ করা হয়েছে, যার মধ্যে রয়েছে ইন্সট্যান্টিয়েটরের মতো জনপ্রিয় প্যাকেজ (মোট 526 মিলিয়ন ইনস্টলেশন, প্রতি মাসে 8 মিলিয়ন ইনস্টলেশন, 323টি নির্ভরশীল প্যাকেজ), sql -ফরম্যাটার (মোট 94 মিলিয়ন ইনস্টলেশন, প্রতি মাসে 800 হাজার, 109টি নির্ভরশীল প্যাকেজ), ডকট্রিন-ক্যাশে-বান্ডেল (73 মিলিয়ন মোট ইনস্টলেশন, 500 হাজার প্রতি মাসে, 348টি নির্ভরশীল প্যাকেজ) এবং rcode-ডিটেক্টর-ডিকোডার (মোট 20 মিলিয়ন ইনস্টলেশন, প্রতি মাসে 400 হাজার, 66টি নির্ভরশীল প্যাকেজ)।

অ্যাকাউন্টগুলির সাথে আপস করার পরে, আক্রমণকারী composer.json ফাইলটি পরিবর্তন করে, প্রকল্পের বিবরণ ক্ষেত্রে তথ্য যোগ করে যে সে তথ্য নিরাপত্তা সম্পর্কিত একটি চাকরি খুঁজছিল। composer.json ফাইলে পরিবর্তন করতে, আক্রমণকারী মূল সংগ্রহস্থলের URL গুলিকে পরিবর্তিত ফর্কগুলির লিঙ্কগুলির সাথে প্রতিস্থাপন করেছে (প্যাকেজিস্ট GitHub-এ বিকাশিত প্রকল্পগুলির লিঙ্কগুলির সাথে শুধুমাত্র মেটাডেটা প্রদান করে; যখন "কম্পোজার ইনস্টল" বা "কম্পোজার আপডেট" এর সাথে ইনস্টল করা হয় কমান্ড, প্যাকেজগুলি সরাসরি GitHub থেকে ডাউনলোড করা হয়)। উদাহরণস্বরূপ, acmephp প্যাকেজের জন্য, লিঙ্কযুক্ত সংগ্রহস্থল acmephp/acmephp থেকে neskafe3v1/acmephp এ পরিবর্তিত হয়েছে।

স্পষ্টতই, আক্রমণটি দূষিত ক্রিয়াকলাপের জন্য নয়, তবে বিভিন্ন সাইটে সদৃশ শংসাপত্র ব্যবহারের প্রতি অসতর্ক মনোভাবের অগ্রহণযোগ্যতার প্রদর্শন হিসাবে চালানো হয়েছিল। একই সময়ে, আক্রমণকারী, "নৈতিক হ্যাকিং" এর প্রতিষ্ঠিত অনুশীলনের বিপরীতে, লাইব্রেরি বিকাশকারী এবং সংগ্রহস্থলের প্রশাসকদের পরীক্ষা চালানোর বিষয়ে আগে থেকে অবহিত করেনি। হামলাকারী পরে ঘোষণা করেছিল যে সে চাকরি পেতে সফল হওয়ার পরে, সে হামলায় ব্যবহৃত পদ্ধতিগুলির উপর একটি বিশদ প্রতিবেদন প্রকাশ করবে।

প্যাকেজিস্ট অ্যাডমিনিস্ট্রেটরদের দ্বারা প্রকাশিত তথ্য অনুসারে, আপোস করা প্যাকেজগুলি পরিচালনা করা সমস্ত অ্যাকাউন্ট দ্বি-ফ্যাক্টর প্রমাণীকরণ সক্ষম না করে সহজেই অনুমান করা পাসওয়ার্ড ব্যবহার করে। এটা অভিযোগ করা হয়েছে যে হ্যাক করা অ্যাকাউন্টগুলি এমন পাসওয়ার্ড ব্যবহার করেছে যা শুধুমাত্র প্যাকেজিস্টেই নয়, অন্যান্য পরিষেবাগুলিতেও ব্যবহৃত হয়েছিল, যেগুলির পাসওয়ার্ড ডেটাবেসগুলি আগে আপস করা হয়েছিল এবং সর্বজনীনভাবে উপলব্ধ ছিল৷ মেয়াদোত্তীর্ণ ডোমেনের সাথে লিঙ্ক করা অ্যাকাউন্ট মালিকদের ইমেলগুলি ক্যাপচার করাও অ্যাক্সেস পাওয়ার বিকল্প হিসাবে ব্যবহার করা যেতে পারে।

আপস করা প্যাকেজ:

• acmephp/acmephp (প্যাকেজের পুরো জীবনের জন্য 124,860 ইনস্টলেশন)
• acmephp/core (419,258)
• acmephp/ssl (531,692)
• মতবাদ/মতবাদ-ক্যাশে-বান্ডেল (73,490,057)
• মতবাদ/মতবাদ-মডিউল (5,516,721)
• মতবাদ/মতবাদ-মঙ্গো-ওডিএম-মডিউল (516,441)
• মতবাদ/মতবাদ-ওর্ম-মডিউল (5,103,306)
• মতবাদ/ইনস্ট্যান্টিয়েটর (526,809,061)
• গ্রোথবুক/গ্রোথবুক (97,568
• jdorn/file-system-cache (32,660)
• jdorn/sql-ফরম্যাটার (94,593,846)
• খানমিরিয়ান/কিউআরকোড-ডিটেক্টর-ডিকোডার (20,421,500)
• অবজেক্ট-ক্যালিসথেনিক্স/phpcs-ক্যালিসথেনিক্স-রুলস (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

উত্স: opennet.ru