{"id":108322,"date":"2023-05-04T12:48:14","date_gmt":"2023-05-04T10:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=108322"},"modified":"2023-05-04T18:45:37","modified_gmt":"2023-05-04T16:45:37","slug":"perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","title":{"rendered":"Preso il controllo su 14 librerie PHP nel repository Packagist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Gli amministratori del repository di pacchetti Packagist hanno rivelato dettagli su un attacco che ha portato al controllo delle credenziali di mantenitori di 14 librerie PHP, tra cui pacchetti popolari come instantiator (526 milioni di installazioni totali, 8 milioni di installazioni al mese, 323 pacchetti dipendenti), sql-formatter (94 milioni di installazioni totali, 800 mila al mese, 109 pacchetti dipendenti), doctrine-cache-bundle (73 milioni di installazioni totali, 500 mila al mese, 348 pacchetti dipendenti) e rcode-detector-decoder (20 milioni di installazioni totali, 400 mila al mese, 66 pacchetti dipendenti). <\/p>\n

Dopo la compromissione degli account, l'attaccante ha modificato il file composer.json, aggiungendo nella descrizione del progetto che sta cercando lavoro nel campo della sicurezza informatica. Per apportare questa modifica, l'attaccante ha sostituito gli URL dei repository originali con collegamenti a fork modificati (su Packagist sono forniti solo metadati con link a progetti sviluppati su GitHub; durante l'installazione con il comando «composer install» o «composer update», i pacchetti vengono scaricati direttamente da GitHub). Ad esempio, per il pacchetto acmephp, il repository collegato \u00e8 stato sostituito da acmephp\/acmephp a neskafe3v1\/acmephp. <\/p>\n

A quanto pare, l'attacco non era finalizzato a causare danni, ma piuttosto a dimostrare l'inaccettabilit\u00e0 di un uso disinvolto delle credenziali ripetute su diversi siti. L'attaccante, contrariamente alla consuetudine degli \"hack ethical\", non ha avvisato preventivamente gli sviluppatori delle librerie e gli amministratori del repository riguardo all'esperimento condotto. Successivamente, l'attaccante ha comunicato che, una volta trovato lavoro, pubblicher\u00e0 un rapporto dettagliato sui metodi utilizzati nell'attacco. <\/p>\n

Dai dati pubblicati dagli amministratori di Packagist, risulta che tutte le credenziali che gestivano i pacchetti compromessi utilizzavano password facilmente individuabili senza attivare l'autenticazione a due fattori. Si sostiene che le password delle credenziali compromesse siano state riutilizzate non solo su Packagist, ma anche su altri servizi, le cui banche dati di password erano state precedentemente compromesse e rese pubbliche. Un'altra modalit\u00e0 di accesso potrebbe essere stata attraverso il furto di email dei proprietari delle credenziali, collegate a domini scaduti. <\/p>\n

Pacchetti compromessi: <\/p>\n