प्याकेजिस्ट भण्डारमा 14 PHP पुस्तकालयहरूको नियन्त्रण लिइयो

प्याकेजिस्ट प्याकेज रिपोजिटरीका प्रशासकहरूले आक्रमणको बारेमा जानकारी खुलासा गरे जसले 14 PHP पुस्तकालयहरूको खाताहरू नियन्त्रणमा लिएको थियो, जसमा इन्स्ट्यान्टिएटर जस्ता लोकप्रिय प्याकेजहरू (कुलमा 526 मिलियन स्थापनाहरू, प्रति महिना 8 मिलियन स्थापनाहरू, 323 आश्रित प्याकेजहरू), sql। -फर्म्याटर (94 मिलियन कुल स्थापनाहरू, 800 हजार प्रति महिना, 109 निर्भर प्याकेजहरू), सिद्धान्त-क्यास-बन्डल (73 मिलियन कुल स्थापनाहरू, 500 हजार प्रति महिना, 348 निर्भर प्याकेजहरू) र rcode-डिटेक्टर-डिकोडर (20 मिलियन कुल स्थापनाहरू, 400 हजार प्रति महिना, 66 निर्भर प्याकेजहरू)।

खाताहरूमा सम्झौता गरेपछि, आक्रमणकारीले composer.json फाइललाई परिमार्जन गर्यो, परियोजना विवरण क्षेत्रमा जानकारी थप्दै कि उसले सूचना सुरक्षासँग सम्बन्धित काम खोजिरहेको थियो। composer.json फाइलमा परिवर्तनहरू गर्नको लागि, आक्रमणकर्ताले परिमार्जित फोर्कहरूमा लिङ्कहरूसँग मूल भण्डारहरूको URL हरू प्रतिस्थापन गर्यो (प्याकेजिस्टले GitHub मा विकसित गरिएका परियोजनाहरूको लिङ्कहरूसँग मात्र मेटाडेटा प्रदान गर्दछ; "कम्पोजर स्थापना" वा "कम्पोजर अपडेट" सँग स्थापना गर्दा। आदेश, प्याकेजहरू सिधै GitHub बाट डाउनलोड हुन्छन्। उदाहरणका लागि, acmephp प्याकेजको लागि, लिङ्क गरिएको भण्डार acmephp/acmephp बाट neskafe3v1/acmephp मा परिवर्तन गरिएको थियो।

स्पष्ट रूपमा, आक्रमण दुर्भावनापूर्ण कार्यहरू गर्न होइन, तर विभिन्न साइटहरूमा डुप्लिकेट प्रमाणहरूको प्रयोगप्रति लापरवाह मनोवृत्तिको अस्वीकार्यताको प्रदर्शनको रूपमा गरिएको थियो। एकै समयमा, आक्रमणकारीले "नैतिक ह्याकिङ" को स्थापित अभ्यासको विपरीत, पुस्तकालय विकासकर्ताहरू र भण्डार प्रशासकहरूलाई प्रयोग भइरहेको बारे अग्रिम सूचित गरेन। आक्रमणकारीले पछि घोषणा गरे कि उनी काम पाउन सफल भए पछि, उसले आक्रमणमा प्रयोग गरिएका विधिहरूको विस्तृत रिपोर्ट प्रकाशित गर्नेछ।

प्याकेजिस्ट प्रशासकहरूद्वारा प्रकाशित डाटाका अनुसार, सम्झौता गरिएका प्याकेजहरू व्यवस्थापन गर्ने सबै खाताहरूले दुई-कारक प्रमाणीकरण सक्षम नगरिकन सजिलो-गर्न-अनुमानित पासवर्डहरू प्रयोग गर्थे। ह्याक भएका खाताहरूले प्याकेजिस्टमा मात्र नभई अन्य सेवाहरूमा पनि प्रयोग हुने पासवर्डहरू प्रयोग गरेको आरोप छ, जसको पासवर्ड डाटाबेसहरू पहिले सम्झौता गरिएको थियो र सार्वजनिक रूपमा उपलब्ध भयो। म्याद सकिएको डोमेनहरूमा लिङ्क गरिएका खाता मालिकहरूको इमेलहरू क्याप्चर गर्न पनि पहुँच प्राप्त गर्न विकल्पको रूपमा प्रयोग गर्न सकिन्छ।

सम्झौता गरिएका प्याकेजहरू:

• acmephp/acmephp (प्याकेजको सम्पूर्ण जीवनको लागि 124,860 स्थापनाहरू)
• acmephp/core (419,258)
• acmephp/ssl (५३१,६९२)
• सिद्धान्त/सिद्धान्त-क्यास-बन्डल (७३,४९०,०५७)
• सिद्धान्त/सिद्धान्त-मोड्युल (५,५१६,७२१)
• सिद्धान्त/सिद्धान्त-mongo-odm-module (516,441)
• सिद्धान्त/सिद्धान्त-ओर्म-मोड्युल (५,१०३,३०६)
• सिद्धान्त/प्रारम्भिक (५२६,८०९,०६१)
• ग्रोथबुक/ग्रोथबुक (९७,५६८
• jdorn/file-system-cache (32,660)
• jdorn/sql-formatter (94,593,846)
• khanamiryan/qrcode-detector-decoder (20,421,500)
• object-calisthenics/phpcs-calisthenics-rules (2,196,380)
• tga/simhash-php, tgalopin/simhashphp (३०,५५५)

स्रोत: opennet.ru