{"id":108322,"date":"2023-05-04T12:48:14","date_gmt":"2023-05-04T10:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=108322"},"modified":"2023-05-04T18:45:37","modified_gmt":"2023-05-04T16:45:37","slug":"perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","title":{"rendered":"Die Kontrolle \u00fcber 14 PHP-Bibliotheken im Packagist-Repository wurde \u00fcbernommen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Die Administratoren des Packagist-Paket-Repositorys haben Informationen \u00fcber einen Angriff ver\u00f6ffentlicht, bei dem die Konten von Betreuern von 14 PHP-Bibliotheken \u00fcbernommen wurden, darunter popul\u00e4re Pakete wie instantiator (526 Millionen Installationen insgesamt, 8 Millionen Installationen im Monat, 323 abh\u00e4ngige Pakete), sql-formatter (94 Millionen Installationen insgesamt, 800 Tausend im Monat, 109 abh\u00e4ngige Pakete), doctrine-cache-bundle (73 Millionen Installationen insgesamt, 500 Tausend im Monat, 348 abh\u00e4ngige Pakete) und rcode-detector-decoder (20 Millionen Installationen insgesamt, 400 Tausend im Monat, 66 abh\u00e4ngige Pakete). <\/p>\n

Nach der Kompromittierung der Konten hat der Angreifer die Datei composer.json ge\u00e4ndert und im Feld f\u00fcr die Projektbeschreibung Informationen hinzugef\u00fcgt, dass er nach einem Job im Bereich der Informationssicherheit sucht. Um die \u00c4nderung an der Datei composer.json vorzunehmen, hat der Angreifer die URLs der urspr\u00fcnglichen Repositories durch Links zu modifizierten Forks ersetzt (in Packagist werden nur Metadaten mit Links zu Projekten bereitgestellt, die auf GitHub entwickelt werden; w\u00e4hrend der Installation mit den Befehlen \u00abcomposer install\u00bb oder \u00abcomposer update\u00bb werden die Pakete direkt von GitHub heruntergeladen). Zum Beispiel wurde das Repository f\u00fcr das Paket acmephp von acmephp\/acmephp auf neskafe3v1\/acmephp ge\u00e4ndert. <\/p>\n

Offensichtlich wurde der Angriff nicht zur Durchf\u00fchrung sch\u00e4dlicher Aktionen, sondern als Demonstration der Unzul\u00e4ssigkeit eines nachl\u00e4ssigen Umgangs mit wiederverwendbaren Anmeldedaten auf verschiedenen Webseiten durchgef\u00fchrt. Dabei hat der Angreifer, entgegen der g\u00e4ngigen Praxis \u201aethischer Hacks\u2018, die Entwickler der Bibliotheken und die Administratoren des Repositories nicht im Voraus \u00fcber das durchgef\u00fchrte Experiment informiert. Sp\u00e4ter erkl\u00e4rte der Angreifer, dass er, nachdem er einen Job erhalten hat, einen detaillierten Bericht \u00fcber die in dem Angriff verwendeten Methoden ver\u00f6ffentlichen wird. <\/p>\n

Laut den von den Packagist-Administratoren ver\u00f6ffentlichten Daten wurden in allen Konten, die die kompromittierten Pakete verwalteten, einfache, leicht zu erratende Passw\u00f6rter verwendet, ohne dass eine Zwei-Faktor-Authentifizierung aktiviert war. Es wird behauptet, dass in den gehackten Konten Passw\u00f6rter verwendet wurden, die nicht nur in Packagist, sondern auch in anderen Diensten verwendet wurden, deren Passwortdatenbanken zuvor kompromittiert und \u00f6ffentlich zug\u00e4nglich gemacht wurden. Eine weitere M\u00f6glichkeit, Zugang zu erhalten, k\u00f6nnte eine E-Mail-\u00dcbernahme von Kontoinhabern gewesen sein, deren Konten an abgelaufene Domains gebunden waren. <\/p>\n

Kompromittierte Pakete: <\/p>\n