{"id":108322,"date":"2023-05-04T12:48:14","date_gmt":"2023-05-04T10:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=108322"},"modified":"2023-05-04T18:45:37","modified_gmt":"2023-05-04T16:45:37","slug":"perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","title":{"rendered":"Control interceptado sobre 14 bibliotecas PHP en el repositorio Packagist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Los administradores del repositorio de paquetes Packagist revelaron informaci\u00f3n sobre un ataque en el que se tom\u00f3 el control de las cuentas de los mantenedores de 14 bibliotecas de PHP, incluyendo paquetes populares como instantiator (526 millones de instalaciones en total, 8 millones de instalaciones en el \u00faltimo mes, 323 paquetes dependientes), sql-formatter (94 millones de instalaciones en total, 800 mil en el \u00faltimo mes, 109 paquetes dependientes), doctrine-cache-bundle (73 millones de instalaciones en total, 500 mil en el \u00faltimo mes, 348 paquetes dependientes) y rcode-detector-decoder (20 millones de instalaciones en total, 400 mil en el \u00faltimo mes, 66 paquetes dependientes). <\/p>\n

Despu\u00e9s de la compromisi\u00f3n de las cuentas, el atacante modific\u00f3 el archivo composer.json, a\u00f1adiendo en el campo de descripci\u00f3n del proyecto informaci\u00f3n sobre que estaba buscando trabajo relacionado con la seguridad de la informaci\u00f3n. Para realizar el cambio en el archivo composer.json, el atacante sustituy\u00f3 las URL de los repositorios originales por enlaces a forks modificados (en Packagist solo se proporcionan metadatos con enlaces a proyectos desarrollados en GitHub, y al ejecutar el comando «composer install» o «composer update», los paquetes se descargan directamente desde GitHub). Por ejemplo, para el paquete acmephp, el repositorio vinculado se cambi\u00f3 de acmephp\/acmephp a neskafe3v1\/acmephp. <\/p>\n

Parece que el ataque no fue realizado con el fin de llevar a cabo acciones maliciosas, sino como una demostraci\u00f3n de lo inaceptable que es el uso imprudente de credenciales repetidas en diferentes sitios. Adem\u00e1s, el atacante, a pesar de la pr\u00e1ctica establecida de «hackeos \u00e9ticos», no notific\u00f3 previamente a los desarrolladores de las bibliotecas y a los administradores del repositorio sobre el experimento que estaba llevando a cabo. M\u00e1s tarde, el atacante inform\u00f3 que despu\u00e9s de conseguir un trabajo, publicar\u00e1 un informe detallado sobre los m\u00e9todos utilizados en el ataque. <\/p>\n

Seg\u00fan la informaci\u00f3n publicada por los administradores de Packagist, en todas las cuentas que gestionaban los paquetes comprometidos se utilizaron contrase\u00f1as f\u00e1ciles de adivinar sin habilitar la autenticaci\u00f3n de dos factores. Se afirma que en las cuentas hackeadas se usaron contrase\u00f1as que tambi\u00e9n se aplicaron en otros servicios, cuyas bases de datos de contrase\u00f1as hab\u00edan sido comprometidas anteriormente y se hab\u00edan hecho p\u00fablicas. Como opci\u00f3n de acceso, tambi\u00e9n se pudo utilizar la captura del correo electr\u00f3nico de los propietarios de cuentas que estaban vinculadas a dominios vencidos. <\/p>\n

Paquetes comprometidos: <\/p>\n