Packagist'i paketirepositooriumi administraatorid avalikustasid teavet r\u00fcnnaku kohta, mille k\u00e4igus saadud kontroll 14 PHP-raamatukogus, sealhulgas populaarsetes pakettides nagu instantiator (k\u00f5ik kokku 526 miljonit installi, 8 miljonit installi kuus, 323 s\u00f5ltuvat paketti), sql-formatter (k\u00f5ik kokku 94 miljonit installi, 800 tuhat kuus, 109 s\u00f5ltuvat paketti), doctrine-cache-bundle (k\u00f5ik kokku 73 miljonit installi, 500 tuhat kuus, 348 s\u00f5ltuvat paketti) ja rcode-detector-decoder (k\u00f5ik kokku 20 miljonit installi, 400 tuhat kuus, 66 s\u00f5ltuvat paketti). <\/p>\n
P\u00e4rast kontode kompromiteerimist muutis r\u00fcndaja faili composer.json, lisades projekti kirjelduse v\u00e4ljadele teavet selle kohta, et ta otsib teavet turvalisuse kohta. Faili composer.json muudatuste tegemiseks asendas r\u00fcndaja algsete hoidlate URL-id muudetud forkide linkidega (Packagist esitatakse ainult metainfot linkidega projektide kohta, mis arenevad GitHubis; k\u00e4skude \u201ecomposer install\u201d v\u00f5i \u201ecomposer update\u201d t\u00e4itmisel laaditakse paketid otse GitHubist). N\u00e4iteks paketi acmephp puhul asendati seotud hoidla acmephp\/acmephp asemel neskafe3v1\/acmephp. <\/p>\n
Tundub, et r\u00fcnnak ei olnud suunatud kahjulike tegevuste tegemisele, vaid pigem kui n\u00e4ide ebaeetilisest suhtumisest korduvate kasutajatunnuste kasutamisse erinevates veebisaitides. Samuti ei teavitanud r\u00fcndaja, vastupidiselt kehtivatele \"eetiliste h\u00e4kkimiste\" tavadele, ette arendajaid ja hoidlate administraatoreid l\u00e4biviidud katsest. Hiljem teatas r\u00fcndaja, et p\u00e4rast t\u00f6\u00f6 v\u00e4\u00e4rtustamist avaldab ta \u00fcksikasjaliku aruande kasutatud r\u00fcndemeetoditest. <\/p>\n
Packagist'i administraatorite avaldatud andmete kohaselt kasutati k\u00f5igis nendes kontodes, mis haldasid kompromiteeritud pakette, lihtsaid, kergesti genereeritavaid paroole, ilma kahefaktorilise autentimiseta. On v\u00e4idetud, et r\u00fcnnatud kontodes kasutati paroole, mis olid kasutusele v\u00f5etud mitte ainult Packagist'is, vaid ka teistes teenustes, mille paroolide andmebaasid olid varem kompromiteeritud ja avalikustatud. \u00dche v\u00f5imaliku ligip\u00e4\u00e4su saamise variandina v\u00f5idi kasutada ka kontohaldurite e-kirjade haaramist, mis olid seotud aegunud domeenidega. <\/p>\n
Ohustatud paketid: <\/p>\n
\n
acmephp\/acmephp \t(124 860 installatsiooni kogu aeg)\n