Angreifern gelang es, unbemerkt schadhafter Code in das Plone-Repository einzufügen.

Die Entwickler des freien Content-Management-Systems Plone, das in Python und JavaScript/NodeJS geschrieben ist, haben einen Vorfall gemeldet, bei dem schadhafter Code in das Git-Repository des Projekts auf GitHub eingefügt wurde. Ursprünglich wurden im Repository drei Änderungsstände entdeckt, die am 7. Januar erschienen (1, 2, 3) und schadhafter Code in den JavaScript-Dateien des Projekts hinzugefügt haben (1, 2, 3). Eine Analyse des Vorfalls ergab, dass die Integration des schadhaften Codes das Ergebnis der Kompromittierung eines Entwicklerkontos war, dessen Zugangstoken von Angreifern erbeutet wurde, nachdem schadhafter Code in seinem System ausgeführt worden war.

Am 14. Januar wurde das kompromittierte Konto gesperrt, und den Entwicklern des Projekts wurde empfohlen, die Commits vom 1. bis 14. Januar zu überprüfen. Am 27. Januar wurde festgestellt, dass die entdeckten Commits nicht die einzigen waren, und der Angriff betraf fünf Repositories des Projekts (plone/volto, plone/mockup, plone/plone.app.mosaic, plone/critical-css-cli, plone/plonetheme.barceloneta), in die unbemerkt schadhafter Code integriert wurde. Im Fall des Repositories plone.app.mosaic gelang es den Angreifern, den Master-Branch zu ersetzen. Der Angriff wurde zwei Monate nach dem Diebstahl des Zugangstokens des Entwicklers durchgeführt.

Um Änderungen einzufügen, nutzten die Angreifer anstelle gewöhnlicher Commits die Operation „force push“ (git push mit der Option „—force“), die es ermöglicht, einen Branch im externen Repository mit ihrem Inhalt zwangsweise zu ersetzen und somit die Änderungs-Historie neu zu schreiben (nach dem Ersetzen wird die Historie des vom Angreifer hochgeladenen Branchs angezeigt). Um eine derartige Branch-Verschiebung in Zukunft zu verhindern, haben die Entwickler von Plone Regeln in GitHub aktiviert, die „force push“-Operationen für die Haupt-Branches und Tags blockieren.

Im Repository plone.app.mosaic haben die Angreifer einen schädlichen Commit in den Master-Branch eingefügt, um die Erkennung der Kompromittierung zu erschweren. Dieser hatte ein gefälschtes Datum – den 18. Dezember – in der Annahme, dass der Suchbereich nach schädlichem Code sich auf die Änderungen konzentrieren würde, die nach ihrer ersten Aktivität im Repository hinzugefügt wurden. Die schädliche Änderung wurde in dem eingefügten Commit als Beginn der Entwicklung einer neuen Testversion präsentiert, aber zusätzlich zur Änderung der Versionsnummer in den Metadaten (von 4.0.0a1 auf 4.0.0a2.dev0) wurde schädlicher Code in die beim Build-Prozess aufgerufene JavaScript-Datei prettier.config.js eingefügt. Um bei der Anzeige der Änderungen im Terminal verborgen zu bleiben, wurde der Code in einer Zeile zusammen mit einer legitimen Operation hinzugefügt und mit Leerzeichen aus dem sichtbaren Bereich verschoben. In der GitHub-Oberfläche wurde dieser Code ebenfalls standardmäßig nicht angezeigt und erforderte das Drücken der Schaltfläche „Load Diff“.

Der Angriff war vielmehr auf die Entwickler des Projekts als auf die Benutzer ausgerichtet. Die schädlichen Änderungen wurden nicht in die Veröffentlichung aufgenommen. Der schädliche Code wurde während des Builds aktiviert, lud Exploits zur Erhöhung der Berechtigungen, richtete Autostart über den Aufruf seiner Prozesse aus Startskripten ein und erlaubte eine Fernsteuerung. ServerDarüber hinaus führte die installierte schädliche Komponente die Suche und den Versand vertraulicher Daten durch, wie z. B. Zugangstokens, Browserprofile und Schlüssel für Kryptowallets.

Quelle: opennet.ru