{"id":108322,"date":"2023-05-04T12:48:14","date_gmt":"2023-05-04T10:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=108322"},"modified":"2023-05-04T18:45:37","modified_gmt":"2023-05-04T16:45:37","slug":"perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","title":{"rendered":"Contr\u00f4le intercept\u00e9 sur 14 biblioth\u00e8ques PHP dans le r\u00e9f\u00e9rentiel Packagist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Les administrateurs du d\u00e9p\u00f4t de paquets Packagist ont r\u00e9v\u00e9l\u00e9 des informations sur une attaque qui a conduit \u00e0 la prise de contr\u00f4le des comptes de mainteneurs de 14 biblioth\u00e8ques PHP, y compris des paquets populaires tels que instantiator (526 millions d'installations au total, 8 millions d'installations par mois, 323 paquets d\u00e9pendants), sql-formatter (94 millions d'installations au total, 800 000 par mois, 109 paquets d\u00e9pendants), doctrine-cache-bundle (73 millions d'installations au total, 500 000 par mois, 348 paquets d\u00e9pendants) et rcode-detector-decoder (20 millions d'installations au total, 400 000 par mois, 66 paquets d\u00e9pendants). <\/p>\n

Apr\u00e8s la compromission des comptes, l'attaquant a modifi\u00e9 le fichier composer.json, ajoutant dans le champ de description du projet des informations sur sa recherche d'un emploi li\u00e9 \u00e0 la s\u00e9curit\u00e9 de l'information. Pour apporter cette modification au fichier composer.json, l'attaquant a remplac\u00e9 les URL des d\u00e9p\u00f4ts d'origine par des liens vers des forks modifi\u00e9s (Packagist fournit uniquement des m\u00e9tadonn\u00e9es avec des liens vers des projets d\u00e9velopp\u00e9s sur GitHub, lors de l'ex\u00e9cution de la commande \u00ab composer install \u00bb ou \u00ab composer update \u00bb, les paquets sont directement t\u00e9l\u00e9charg\u00e9s depuis GitHub). Par exemple, pour le paquet acmephp, le d\u00e9p\u00f4t li\u00e9 a \u00e9t\u00e9 remplac\u00e9 de acmephp\/acmephp \u00e0 neskafe3v1\/acmephp. <\/p>\n

Il semble que l'attaque n'ait pas \u00e9t\u00e9 r\u00e9alis\u00e9e pour des actions malveillantes, mais comme une d\u00e9monstration de l'inad\u00e9quation d'une gestion imprudente des identifiants r\u00e9p\u00e9titifs sur diff\u00e9rents sites. De plus, l'attaquant, contrairement \u00e0 la pratique \u00e9tablie des \u00ab hacks \u00e9thiques \u00bb, n'a pas pr\u00e9alablement inform\u00e9 les d\u00e9veloppeurs des biblioth\u00e8ques et les administrateurs du d\u00e9p\u00f4t de l'exp\u00e9rience en cours. Plus tard, l'attaquant a d\u00e9clar\u00e9 qu'apr\u00e8s avoir r\u00e9ussi \u00e0 obtenir un emploi, il publierait un rapport d\u00e9taill\u00e9 sur les m\u00e9thodes utilis\u00e9es dans l'attaque. <\/p>\n

Selon les donn\u00e9es publi\u00e9es par les administrateurs de Packagist, tous les comptes g\u00e9rant les paquets compromis utilisaient des mots de passe faciles \u00e0 deviner sans avoir activ\u00e9 l'authentification \u00e0 deux facteurs. Il est affirm\u00e9 que les mots de passe des comptes pirat\u00e9s \u00e9taient utilis\u00e9s non seulement sur Packagist, mais \u00e9galement sur d'autres services, dont les bases de mots de passe avaient \u00e9t\u00e9 pr\u00e9c\u00e9demment compromises et divulgu\u00e9es publiquement. Comme option d'acc\u00e8s, la capture de l'email des propri\u00e9taires des comptes li\u00e9s \u00e0 des domaines expir\u00e9s a \u00e9galement pu \u00eatre utilis\u00e9e. <\/p>\n

Paquets compromis : <\/p>\n