पैकैगिस्ट रिपॉजिटरी में 14 PHP लाइब्रेरीज़ का नियंत्रण ले लिया गया

पैकागिस्ट पैकेज रिपॉजिटरी के प्रशासकों ने एक हमले के बारे में जानकारी का खुलासा किया जिसके परिणामस्वरूप 14 PHP पुस्तकालयों के खातों पर नियंत्रण हो गया, जिसमें इंस्टेंटिएटर (कुल 526 मिलियन इंस्टॉलेशन, प्रति माह 8 मिलियन इंस्टॉलेशन, 323 आश्रित पैकेज), एसक्यूएल जैसे लोकप्रिय पैकेज शामिल थे। -फॉर्मेटर (94 मिलियन कुल इंस्टॉलेशन, 800 हजार प्रति माह, 109 आश्रित पैकेज), सिद्धांत-कैश-बंडल (73 मिलियन कुल इंस्टॉलेशन, 500 हजार प्रति माह, 348 निर्भर पैकेज) और आरकोड-डिटेक्टर-डिकोडर (20 मिलियन कुल इंस्टॉलेशन, 400 हजार प्रति माह, 66 आश्रित पैकेज)।

खातों से समझौता करने के बाद, हमलावर ने कंपोज़र.जेसन फ़ाइल को संशोधित किया, और प्रोजेक्ट विवरण फ़ील्ड में जानकारी जोड़ दी कि वह सूचना सुरक्षा से संबंधित नौकरी की तलाश में था। कंपोजर.जेसन फ़ाइल में परिवर्तन करने के लिए, हमलावर ने मूल रिपॉजिटरी के यूआरएल को संशोधित फोर्क्स के लिंक के साथ बदल दिया (पैकेजिस्ट केवल गिटहब पर विकसित परियोजनाओं के लिंक के साथ मेटाडेटा प्रदान करता है; "कंपोजर इंस्टॉल" या "कंपोजर अपडेट" के साथ इंस्टॉल करते समय) कमांड, पैकेज सीधे GitHub से डाउनलोड किए जाते हैं)। उदाहरण के लिए, acmephp पैकेज के लिए, लिंक किए गए रिपॉजिटरी को acmephp/acmephp से neskafe3v1/acmephp में बदल दिया गया था।

जाहिर तौर पर, यह हमला दुर्भावनापूर्ण कार्रवाई करने के लिए नहीं, बल्कि विभिन्न साइटों पर डुप्लिकेट क्रेडेंशियल्स के उपयोग के प्रति लापरवाह रवैये की अस्वीकार्यता के प्रदर्शन के रूप में किया गया था। उसी समय, हमलावर ने, "एथिकल हैकिंग" की स्थापित प्रथा के विपरीत, लाइब्रेरी डेवलपर्स और रिपॉजिटरी प्रशासकों को किए जा रहे प्रयोग के बारे में पहले से सूचित नहीं किया। हमलावर ने बाद में घोषणा की कि नौकरी पाने में सफल होने के बाद, वह हमले में इस्तेमाल किए गए तरीकों पर एक विस्तृत रिपोर्ट प्रकाशित करेगा।

पैकैगिस्ट प्रशासकों द्वारा प्रकाशित आंकड़ों के अनुसार, समझौता किए गए पैकेजों को प्रबंधित करने वाले सभी खाते दो-कारक प्रमाणीकरण को सक्षम किए बिना आसानी से अनुमान लगाने वाले पासवर्ड का उपयोग करते थे। यह आरोप लगाया गया है कि हैक किए गए खातों में ऐसे पासवर्ड का उपयोग किया गया था जिनका उपयोग न केवल पैकागिस्ट में किया गया था, बल्कि अन्य सेवाओं में भी किया गया था, जिनके पासवर्ड डेटाबेस से पहले समझौता किया गया था और सार्वजनिक रूप से उपलब्ध हो गए थे। उन खाता स्वामियों के ईमेल को कैप्चर करना जो समाप्त डोमेन से जुड़े थे, पहुंच प्राप्त करने के विकल्प के रूप में भी इस्तेमाल किया जा सकता है।

समझौता किए गए पैकेज:

• acmephp/acmephp (पैकेज के पूरे जीवनकाल के लिए 124,860 इंस्टॉलेशन)
• एक्मेफ़पी/कोर (419,258)
• एक्मेफ़पी/एसएसएल (531,692)
• सिद्धांत/सिद्धांत-कैश-बंडल (73,490,057)
• सिद्धांत/सिद्धांत-मॉड्यूल (5,516,721)
• सिद्धांत/सिद्धांत-मोंगो-ओडीएम-मॉड्यूल (516,441)
• सिद्धांत/सिद्धांत-आर्म-मॉड्यूल (5,103,306)
• सिद्धांत/प्रवर्तक (526,809,061)
• ग्रोथबुक/ग्रोथबुक (97,568
• jdorn/फ़ाइल-सिस्टम-कैश (32,660)
• jdorn/sql-फ़ॉर्मेटर (94,593,846)
• खानमिर्यन/क्यूआरकोड-डिटेक्टर-डिकोडर (20,421,500)
• ऑब्जेक्ट-कैलिस्थेनिक्स/पीएचपीसी-कैलिस्थेनिक्स-नियम (2,196,380)
• टीजीए/सिमहैश-पीएचपी, टीगैलोपिन/सिमहैशपीएचपी (30,555)

स्रोत: opennet.ru