Atakè enkoni yo te genyen kontwòl sou pake Python ctx ak PHP bibliyotèk phpass, apre sa yo te afiche mizajou ak yon insert move ki te voye sa ki nan varyab anviwònman an nan yon sèvè ekstèn ak tann nan vòlè marqueur nan AWS ak sistèm entegrasyon kontinyèl. Dapre estatistik ki disponib yo, pake Python 'ctx' telechaje nan depo PyPI apeprè 22 mil fwa pa semèn. Pake PHP phpass la distribye atravè depo Composer la epi li te telechaje plis pase 2.5 milyon fwa jiskaprezan.
Nan ctx, kòd move a te afiche sou 15 me nan lage 0.2.2, sou 26 me nan lage 0.2.6, ak sou 21 me ansyen lage 0.1.2, orijinal ki te fòme an 2014, te ranplase. Yo kwè ke yo te jwenn aksè kòm rezilta kont pwomotè a te konpwomèt.
Kòm pou pakè PHP phpass la, kòd move a te entegre atravè enskripsyon yon nouvo depo GitHub ki gen menm non hautelook/phpass (pwopriyetè depo orijinal la te efase kont hautelook li, ki atakè a te pwofite epi li te anrejistre yon nouvo kont). ak menm non ak poste li anba gen yon depo phppass ak kòd move). Sa gen senk jou, yo te ajoute yon chanjman nan depo a ki voye sa ki nan varyab anviwònman AWS_ACCESS_KEY ak AWS_SECRET_KEY sou sèvè ekstèn lan.
Yon tantativ pou mete yon pake move nan depo Composer la te bloke byen vit epi yo te redireksyon pakè hautelook/phpass konpwomèt nan pake bordoni/phpass, ki kontinye devlopman pwojè a. Nan ctx ak phpass, varyab anviwònman yo te voye nan menm sèvè a "anti-theft-web.herokuapp[.]com", ki endike ke atak yo kaptire pake yo te fèt pa menm moun nan.
Sous: opennet.ru