{"id":108322,"date":"2023-05-04T12:48:14","date_gmt":"2023-05-04T10:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=108322"},"modified":"2023-05-04T18:45:37","modified_gmt":"2023-05-04T16:45:37","slug":"perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","title":{"rendered":"Controllo interrotto su 14 librerie PHP nel repository Packagist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Gli amministratori del repository di pacchetti Packagist hanno rivelato notizie su un attacco che ha compromesso il controllo di account di mantenimento di 14 librerie PHP, tra cui pacchetti popolari come instantiator (526 milioni di installazioni totali, 8 milioni al mese, 323 pacchetti dipendenti), sql-formatter (94 milioni di installazioni totali, 800 mila al mese, 109 pacchetti dipendenti), doctrine-cache-bundle (73 milioni di installazioni totali, 500 mila al mese, 348 pacchetti dipendenti) e rcode-detector-decoder (20 milioni di installazioni totali, 400 mila al mese, 66 pacchetti dipendenti). <\/p>\n
Dopo la compromissione degli account, l'attaccante ha modificato il file composer.json, aggiungendo nel campo della descrizione del progetto informazioni sul suo interesse a trovare lavoro nel campo della sicurezza informatica. Per apportare la modifica al file composer.json, l'attaccante ha sostituito gli URL dei repository originali con collegamenti a fork modificati (su Packagist sono fornite solo le metadata con i link ai progetti sviluppati su GitHub; durante l'installazione con il comando «composer install» o «composer update», i pacchetti vengono scaricati direttamente da GitHub). Ad esempio, per il pacchetto acmephp, il repository associato \u00e8 stato cambiato da acmephp\/acmephp a neskafe3v1\/acmephp. <\/p>\n
A quanto sembra, l'attacco non \u00e8 stato condotto per scopi dannosi, ma come dimostrazione dell'inaccettabilit\u00e0 dell'uso sconsiderato di credenziali ripetute su siti diversi. Inoltre, l'attaccante, contrariamente alla pratica consolidata degli «hack etici», non ha preavvisato in anticipo gli sviluppatori delle librerie e gli amministratori del repository riguardo all'esperimento in corso. In seguito, l'attaccante ha dichiarato che, dopo aver trovato lavoro, pubblicher\u00e0 un rapporto dettagliato sui metodi utilizzati nell'attacco. <\/p>\n
Secondo i dati pubblicati dagli amministratori di Packagist, tutte le account che gestivano i pacchetti compromessi utilizzavano password facilmente indovinabili senza abilitare l'autenticazione a due fattori. Si sostiene che nelle account violate siano state utilizzate password utilizzate non solo in Packagist, ma anche in altri servizi, le cui banche dati di password erano state precedentemente compromesse e rese pubbliche. Un'opzione per ottenere accesso potrebbe anche essere stata l'acquisizione dell'email dei proprietari degli account, che erano collegate a domini scaduti. <\/p>\n