A csomagkezelő rendszergazdái a Packagist-nál értesítettek egy támadásról, amelynek következtében 14 PHP könyvtár karbantartóinak fiókja fölött vették át az irányítást, köztük olyan népszerű csomagok, mint az instantiator (526 millió telepítés összesen, 8 millió telepítés havonta, 323 függő csomag), sql-formatter (94 millió telepítés összesen, 800 ezer havonta, 109 függő csomag), doctrine-cache-bundle (73 millió telepítés összesen, 500 ezer havonta, 348 függő csomag) és rcode-detector-decoder (20 millió telepítés összesen, 400 ezer havonta, 66 függő csomag).
A fiókok kompromittálása után a támadó módosította a composer.json fájlt, és a projektleíró mezőbe olyan információt adott hozzá, miszerint munkát keres, ami informatikai biztonsággal kapcsolatos. A composer.json fájlban a módosításhoz a támadó az eredeti repók URL-jeit módosított forkok linkjeire cserélte (a Packagist csak metainformációkat biztosít a GitHub-on fejlesztett projektekről, a „composer install” vagy „composer update” parancs kiadása során a csomagok közvetlenül GitHub-ról töltődnek le). Például az acmephp csomag esetében a hozzákapcsolt repó változott acmephp/acmephp-ról neskafe3v1/acmephp-ra.
A támadás láthatóan nem rosszindulatú cselekmények céljából történt, hanem a figyelmetlen felhasználási gyakorlatok bemutatására, amelyek a különböző webhelyeken való jelszóújrafelhasználásra vonatkoznak. A támadó ellentétben a hagyományos „etikus hackelés” gyakorlattal előre nem értesítette a könyvtárak fejlesztőit és a repó adminisztrátorait a kísérlet lebonyolításáról. Később a támadó bejelentette, hogy hétfőn, miután sikerül munkát találnia, részletes jelentést fog közzétenni a támadás során használt módszerekről.
A Packagist adminisztrátorai által közzétett adatok szerint a megsértett csomagokkal kezelet fiókok mindegyike gyenge, könnyen kitalálható jelszavakat használt, és nem volt kétfaktoros hitelesítés aktiválva. Állítólag a feltört fiókokban használt jelszavakat nemcsak a Packagist, hanem más szolgáltatások is használták, amelyek jelszó adatbázisait korábban már kompromittálták és nyilvános forrásba kerültek. Alternatív módszerekként az e-mail címek megszerzése is lehetséges volt, amelyek a lejárt domainekhez kapcsolódtak.
Kompromittált csomagok:
- acmephp/acmephp (124,860 telepítés a csomag létezése óta)
- acmephp/core (419,258)
- acmephp/ssl (531,692)
- doctrine/doctrine-cache-bundle (73,490,057)
- doctrine/doctrine-module (5,516,721)
- doctrine/doctrine-mongo-odm-module (516,441)
- doctrine/doctrine-orm-module (5,103,306)
- doctrine/instantiator (526,809,061)
- growthbook/growthbook (97,568
- jdorn/file-system-cache (32,660)
- jdorn/sql-formatter (94,593,846)
- khanamiryan/qrcode-detector-decoder (20,421,500)
- object-calisthenics/phpcs-calisthenics-rules (2,196,380)
- tga/simhash-php, tgalopin/simhashphp (30,555)
Forrás: opennet.ru
