A csomagkezel\u0151 rendszergazd\u00e1i a Packagist-n\u00e1l \u00e9rtes\u00edtettek egy t\u00e1mad\u00e1sr\u00f3l, amelynek k\u00f6vetkezt\u00e9ben 14 PHP k\u00f6nyvt\u00e1r karbantart\u00f3inak fi\u00f3kja f\u00f6l\u00f6tt vett\u00e9k \u00e1t az ir\u00e1ny\u00edt\u00e1st, k\u00f6zt\u00fck olyan n\u00e9pszer\u0171 csomagok, mint az instantiator (526 milli\u00f3 telep\u00edt\u00e9s \u00f6sszesen, 8 milli\u00f3 telep\u00edt\u00e9s havonta, 323 f\u00fcgg\u0151 csomag), sql-formatter (94 milli\u00f3 telep\u00edt\u00e9s \u00f6sszesen, 800 ezer havonta, 109 f\u00fcgg\u0151 csomag), doctrine-cache-bundle (73 milli\u00f3 telep\u00edt\u00e9s \u00f6sszesen, 500 ezer havonta, 348 f\u00fcgg\u0151 csomag) \u00e9s rcode-detector-decoder (20 milli\u00f3 telep\u00edt\u00e9s \u00f6sszesen, 400 ezer havonta, 66 f\u00fcgg\u0151 csomag). <\/p>\n
A t\u00e1mad\u00f3 a fi\u00f3kok kompromitt\u00e1l\u00e1sa ut\u00e1n m\u00f3dos\u00edtotta a composer.json f\u00e1jlt, \u00e9s a projekt le\u00edr\u00e1s\u00e1nak mez\u0151j\u00e9be be\u00edrta, hogy informatikai biztons\u00e1ggal kapcsolatos munk\u00e1t keres. A composer.json f\u00e1jl m\u00f3dos\u00edt\u00e1s\u00e1hoz a t\u00e1mad\u00f3 az eredeti rep\u00f3k URL-jeit m\u00f3dos\u00edtott forkokra cser\u00e9lte (a Packagist csak metainform\u00e1ci\u00f3kat szolg\u00e1ltat a GitHub-on fejlesztett projektek linkjeivel, a csomagok telep\u00edt\u00e9se a 'composer install' vagy 'composer update' parancsokkal k\u00f6zvetlen\u00fcl a GitHub-r\u00f3l t\u00f6rt\u00e9nik). P\u00e9ld\u00e1ul az acmephp csomag eset\u00e9n a kapcsolt rep\u00f3 az acmephp\/acmephp-r\u00f3l neskafe3v1\/acmephp-ra lett cser\u00e9lve. <\/p>\n
A t\u00e1mad\u00e1s nyilv\u00e1nval\u00f3an nem k\u00e1ros cselekedetek v\u00e9grehajt\u00e1s\u00e1ra ir\u00e1nyult, hanem a k\u00fcl\u00f6nb\u00f6z\u0151 webhelyeken t\u00f6rt\u00e9n\u0151 ism\u00e9tl\u0151d\u0151 hiteles\u00edt\u00e9si adatok gondatlan haszn\u00e1lat\u00e1nak el\u00edt\u00e9l\u00e9s\u00e9re szolg\u00e1lt. Ezzel egy\u00fctt a t\u00e1mad\u00f3, ellent\u00e9tben az 'etikai hackel\u00e9s' kialakult gyakorlat\u00e1val, el\u0151re nem \u00e9rtes\u00edtette a k\u00f6nyvt\u00e1rak fejleszt\u0151it \u00e9s a rep\u00f3 adminisztr\u00e1torait a v\u00e9grehajtott k\u00eds\u00e9rletr\u0151l. K\u00e9s\u0151bb a t\u00e1mad\u00f3 azt nyilatkozta, hogy ha siker\u00fcl munk\u00e1t szereznie, r\u00e9szletes jelent\u00e9st fog k\u00f6zz\u00e9tenni a t\u00e1mad\u00e1s sor\u00e1n haszn\u00e1lt m\u00f3dszerekr\u0151l. <\/p>\n
A Packagist adminisztr\u00e1torai \u00e1ltal k\u00f6zz\u00e9tett adatok szerint a megs\u00e9rtett csomagokkal kezelet fi\u00f3kok mindegyike gyenge, k\u00f6nnyen kital\u00e1lhat\u00f3 jelszavakat haszn\u00e1lt, \u00e9s nem volt k\u00e9tfaktoros hiteles\u00edt\u00e9s aktiv\u00e1lva. \u00c1ll\u00edt\u00f3lag a felt\u00f6rt fi\u00f3kokban haszn\u00e1lt jelszavakat nemcsak a Packagist, hanem m\u00e1s szolg\u00e1ltat\u00e1sok is haszn\u00e1lt\u00e1k, amelyek jelsz\u00f3 adatb\u00e1zisait kor\u00e1bban m\u00e1r kompromitt\u00e1lt\u00e1k \u00e9s nyilv\u00e1nos forr\u00e1sba ker\u00fcltek. Alternat\u00edv m\u00f3dszerekk\u00e9nt az e-mail c\u00edmek megszerz\u00e9se is lehets\u00e9ges volt, amelyek a lej\u00e1rt domainekhez kapcsol\u00f3dtak. <\/p>\n
Kompromitt\u00e1lt csomagok: <\/p>\n