പാക്കേജിസ്റ്റ് റിപ്പോസിറ്ററിയിലെ 14 PHP ലൈബ്രറികളുടെ നിയന്ത്രണം ഏറ്റെടുത്തു

ഇൻസ്റ്റന്റിയേറ്റർ (526 ദശലക്ഷം ആകെ ഇൻസ്റ്റാളുകൾ, 8 ദശലക്ഷം പ്രതിമാസ ഇൻസ്റ്റാളുകൾ, 323 ആശ്രിത പാക്കേജുകൾ), sql-formater (94 ദശലക്ഷം ആകെ ഇൻസ്റ്റാളുകൾ, 800 പ്രതിമാസ ഇൻസ്റ്റാളുകൾ, 109 ആശ്രിത പാക്കേജുകൾ), ഡോക്‌ട്രിൻ-കാഷെ-ബണ്ടിൽ (73 ദശലക്ഷം ആകെ ഇൻസ്റ്റാളുകൾ, 500 പ്രതിമാസ ഇൻസ്റ്റാളുകൾ, 348 ആശ്രിത പാക്കേജുകൾ), ആർകോഡ്-ഡിറ്റക്ടർ-ഡീകോഡർ (20 ദശലക്ഷം ആകെ ഇൻസ്റ്റാളുകൾ, 400 പ്രതിമാസ ഇൻസ്റ്റാളുകൾ, 66 ആശ്രിത പാക്കേജുകൾ) തുടങ്ങിയ ജനപ്രിയ പാക്കേജുകൾ ഉൾപ്പെടെ 14 PHP ലൈബ്രറികളുടെ പരിപാലകരുടെ അക്കൗണ്ടുകൾ പിടിച്ചെടുക്കുന്നതിൽ കലാശിച്ച ഒരു ആക്രമണത്തിന്റെ വിശദാംശങ്ങൾ പാക്കജിസ്റ്റ് പാക്കേജ് റിപ്പോസിറ്ററിയുടെ അഡ്മിനിസ്ട്രേറ്റർമാർ വെളിപ്പെടുത്തിയിട്ടുണ്ട്.

അക്കൗണ്ടുകൾ അപഹരിച്ചതിനുശേഷം, ആക്രമണകാരി composer.json ഫയൽ പരിഷ്കരിച്ചു, വിവര സുരക്ഷയുമായി ബന്ധപ്പെട്ട ജോലി അന്വേഷിക്കുകയാണെന്ന് പ്രസ്താവിച്ചുകൊണ്ട് പ്രോജക്റ്റ് വിവരണ ഫീൽഡിൽ വിവരങ്ങൾ ചേർത്തു. composer.json പരിഷ്കരണം നടപ്പിലാക്കുന്നതിനായി, ആക്രമണകാരി യഥാർത്ഥ റിപ്പോസിറ്ററികളുടെ URL-കൾ പരിഷ്കരിച്ച ഫോർക്കുകളിലേക്കുള്ള ലിങ്കുകൾ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിച്ചു (GitHub-ൽ പരിപാലിക്കുന്ന പ്രോജക്റ്റുകളിലേക്കുള്ള ലിങ്കുകൾക്കൊപ്പം മാത്രമേ Packagist മെറ്റാഡാറ്റ നൽകുന്നുള്ളൂ; "composer install" അല്ലെങ്കിൽ "composer update" കമാൻഡ് ഉപയോഗിച്ച് ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ, പാക്കേജുകൾ GitHub-ൽ നിന്ന് നേരിട്ട് ഡൗൺലോഡ് ചെയ്യപ്പെടുന്നു). ഉദാഹരണത്തിന്, acmephp പാക്കേജിനായി, അനുബന്ധ റിപ്പോസിറ്ററി acmephp/acmephp-ൽ നിന്ന് neskafe3v1/acmephp-ലേക്ക് മാറ്റി.

പ്രത്യക്ഷത്തിൽ, ആക്രമണം ദ്രോഹകരമായ പ്രവൃത്തികൾ ചെയ്യുക എന്ന ലക്ഷ്യത്തോടെയല്ല, മറിച്ച് വ്യത്യസ്ത വെബ്‌സൈറ്റുകളിൽ അശ്രദ്ധമായി ഡ്യൂപ്ലിക്കേറ്റ് ക്രെഡൻഷ്യലുകൾ ഉപയോഗിക്കുന്നതിലെ അസ്വീകാര്യത പ്രകടിപ്പിക്കുക എന്ന ലക്ഷ്യത്തോടെയായിരുന്നു. മാത്രമല്ല, "നൈതിക ഹാക്കിംഗിൽ" നിലവിലുള്ള രീതിക്ക് വിരുദ്ധമായി, ആക്രമണകാരി ലൈബ്രറി ഡെവലപ്പർമാരെയും റിപ്പോസിറ്ററി അഡ്മിനിസ്ട്രേറ്റർമാരെയും പരീക്ഷണത്തെക്കുറിച്ച് മുൻകൂട്ടി അറിയിച്ചിരുന്നില്ല. ജോലി നേടിയ ശേഷം, ആക്രമണത്തിൽ ഉപയോഗിച്ച രീതികളെക്കുറിച്ചുള്ള വിശദമായ റിപ്പോർട്ട് പ്രസിദ്ധീകരിക്കുമെന്ന് ആക്രമണകാരി പിന്നീട് പറഞ്ഞു.

പാക്കജിസ്റ്റ് അഡ്മിനിസ്ട്രേറ്റർമാർ പ്രസിദ്ധീകരിച്ച ഡാറ്റ പ്രകാരം, ഹാക്ക് ചെയ്യപ്പെട്ട പാക്കേജുകൾ കൈകാര്യം ചെയ്യുന്ന എല്ലാ അക്കൗണ്ടുകളും രണ്ട്-ഘടക പ്രാമാണീകരണം പ്രാപ്തമാക്കാതെ എളുപ്പത്തിൽ ഊഹിക്കാവുന്ന പാസ്‌വേഡുകൾ ഉപയോഗിച്ചു. ഹാക്ക് ചെയ്യപ്പെട്ട അക്കൗണ്ടുകൾ പാക്കജിസ്റ്റിന്റെ മാത്രമല്ല, മുമ്പ് പാസ്‌വേഡ് ഡാറ്റാബേസുകൾ അപഹരിക്കപ്പെട്ടതും പരസ്യമാക്കിയതുമായ മറ്റ് സേവനങ്ങൾക്കും പാസ്‌വേഡുകൾ ഉപയോഗിച്ചതായി അവകാശപ്പെടുന്നു. കാലഹരണപ്പെട്ട ഡൊമെയ്‌നുകളുമായി ലിങ്ക് ചെയ്‌തിരിക്കുന്ന അക്കൗണ്ട് ഉടമകളുടെ ഇമെയിൽ വിലാസങ്ങൾ ഹൈജാക്ക് ചെയ്യുക എന്നതായിരുന്നു ആക്‌സസ് നേടാനുള്ള മറ്റൊരു സാധ്യമായ മാർഗം.

വിട്ടുവീഴ്ച ചെയ്ത പാക്കേജുകൾ:

• acmephp/acmephp (124,860 ആജീവനാന്ത ഇൻസ്റ്റാളേഷനുകൾ)
• acmephp/കോർ (419,258)
• എസിഎംഇപിഎച്ച്പി/എസ്എസ്എൽ (531,692)
• ഡോക്ട്രിൻ/ഡോക്ട്രിൻ-കാഷെ-ബണ്ടിൽ (73,490,057)
• സിദ്ധാന്തം/സിദ്ധാന്തം-മൊഡ്യൂൾ (5,516,721)
• സിദ്ധാന്തം/സിദ്ധാന്തം-മോംഗോ-ഒഡിഎം-മൊഡ്യൂൾ (516,441)
• സിദ്ധാന്തം/സിദ്ധാന്തം-ഓർമ്-മൊഡ്യൂൾ (5,103,306)
• സിദ്ധാന്തം/ഇൻസ്റ്റാന്റിയേറ്റർ (526,809,061)
• ഗ്രോത്ത്ബുക്ക്/ഗ്രോത്ത്ബുക്ക് (97,568)
• jdorn/ഫയൽ-സിസ്റ്റം-കാഷെ (32,660)
• jdorn/sql-ഫോർമാറ്റർ (94,593,846)
• ഖനാമിര്യൻ/ക്യുആർകോഡ്-ഡിറ്റക്ടർ-ഡീകോഡർ (20,421,500)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

അവലംബം: opennet.ru