पॅकेजिस्ट रेपॉजिटरीमध्ये 14 PHP लायब्ररींचा ताबा घेतला

पॅकेजिस्ट पॅकेज रिपॉझिटरीच्या प्रशासकांनी 14 PHP लायब्ररींच्या देखभाल करणार्‍यांच्या खात्यांवर नियंत्रण ठेवलेल्या हल्ल्याचे तपशील उघड केले, ज्यात इन्स्टंटिएटर (एकूण 526 दशलक्ष इंस्टॉलेशन्स, दरमहा 8 मिलियन इंस्टॉलेशन्स, 323 आश्रित पॅकेजेस), sql सारख्या लोकप्रिय पॅकेजेसचा समावेश आहे. -फॉर्मेटर (एकूण 94M इंस्टॉलेशन्स, एका महिन्यात 800K, 109 आश्रित पॅकेजेस), डॉक्ट्रीन-कॅशे-बंडल (एकूण 73M, एका महिन्यात 500K, 348 आश्रित पॅकेज) आणि rcode-डिटेक्टर-डिकोडर (एकूण 20M इंस्टॉलेशन्स, 400 हजार प्रति महिना, 66 आश्रित पॅकेजेस).

खात्यांशी तडजोड केल्यानंतर, आक्रमणकर्त्याने composer.json फाईलमध्ये सुधारणा केली, आणि प्रकल्प वर्णन फील्डमध्ये माहिती सुरक्षेशी संबंधित नोकरी शोधत असल्याची माहिती जोडली. composer.json फाइलमध्ये बदल करण्यासाठी, हल्लेखोराने मूळ रिपॉझिटरीजच्या URL बदलून सुधारित फॉर्क्सच्या लिंक्ससह बदलले (पॅकेजिस्ट फक्त "संगीतकर्ता स्थापित" किंवा "संगीतकार अद्यतनासह स्थापित करताना, GitHub वर विकसित केलेल्या प्रकल्पांच्या लिंकसह मेटाडेटा प्रदान करते. ” कमांड, पॅकेजेस थेट GitHub वरून डाउनलोड केले जातात). उदाहरणार्थ, acmephp पॅकेजसाठी, लिंक केलेले रेपॉजिटरी acmephp/acmephp वरून neskafe3v1/acmephp मध्ये बदलले होते.

वरवर पाहता, हा हल्ला दुर्भावनापूर्ण कृती करण्यासाठी केला गेला नाही, परंतु वेगवेगळ्या साइट्सवर डुप्लिकेट क्रेडेन्शियल्सचा वापर करण्याच्या निष्काळजी वृत्तीच्या अस्वीकार्यतेचे प्रदर्शन म्हणून. त्याच वेळी, "एथिकल हॅकिंग" च्या प्रस्थापित प्रथेच्या विरोधात, आक्रमणकर्त्याने लायब्ररी डेव्हलपर आणि रिपॉझिटरी प्रशासकांना प्रयोगाबद्दल आगाऊ सूचित केले नाही. नंतर, हल्लेखोराने सांगितले की तो नोकरी मिळवण्यात यशस्वी झाल्यानंतर, तो हल्ल्यात वापरलेल्या पद्धतींचा तपशीलवार अहवाल प्रकाशित करेल.

पॅकेजिस्ट अॅडमिनिस्ट्रेटर्सनी जारी केलेल्या माहितीनुसार, तडजोड केलेल्या पॅकेजेसचे व्यवस्थापन करणाऱ्या सर्व खात्यांनी टू-फॅक्टर ऑथेंटिकेशन सक्षम न करता सहज-टू-ब्रूट-फोर्स पासवर्डचा वापर केला. असा आरोप आहे की हॅक केलेल्या खात्यांमध्ये असे पासवर्ड वापरले जातात जे केवळ पॅकेजिस्टमध्येच नव्हे तर इतर सेवांमध्ये देखील वापरले जात होते ज्यांच्या पासवर्ड डेटाबेसमध्ये यापूर्वी तडजोड केली गेली होती आणि सार्वजनिक केले गेले होते. कालबाह्य डोमेनशी जोडलेल्या खातेधारकांचे ईमेल कॅप्चर करणे देखील प्रवेश मिळविण्यासाठी पर्याय म्हणून वापरले जाऊ शकते.

तडजोड केलेली पॅकेजेस:

• acmephp/acmephp (पॅकेजच्या आयुष्यभरात 124,860 इंस्टॉल)
• acmephp/core(419,258)
• acmephp/ssl (531,692)
• सिद्धांत/सिद्धांत-कॅशे-बंडल (73,490,057)
• सिद्धांत/सिद्धांत-मॉड्यूल (५,५१६,७२१)
• सिद्धांत/सिद्धांत-मोंगो-ओडीएम-मॉड्यूल (५१६,४४१)
• सिद्धांत/सिद्धांत-ओर्म-मॉड्यूल (5,103,306)
• सिद्धांत/त्वरित करणारा (526,809,061)
• ग्रोथबुक/ग्रोथबुक (९७,५६८
• jdorn/file-system-cache (32,660)
• jdorn/sql-फॉर्मेटर (94,593,846)
• khanamiryan/qrcode-detector-decoder (20,421,500)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (30,555)

स्त्रोत: opennet.ru