{"id":108322,"date":"2023-05-04T12:48:14","date_gmt":"2023-05-04T10:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=108322"},"modified":"2023-05-04T18:45:37","modified_gmt":"2023-05-04T16:45:37","slug":"perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","title":{"rendered":"De controle over 14 PHP-bibliotheken in de Packagist-repository is overgenomen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Beheerders van de Packagist-pakketrepository hebben gegevens onthuld over een aanval waarbij de controle over de accounts van de onderhouders van 14 PHP-bibliotheken werd overgenomen, waaronder populaire pakketten zoals instantiator (526 miljoen installaties totaal, 8 miljoen installaties per maand, 323 afhankelijke pakketten), sql-formatter (94 miljoen installaties totaal, 800 duizend per maand, 109 afhankelijke pakketten), doctrine-cache-bundle (73 miljoen installaties totaal, 500 duizend per maand, 348 afhankelijke pakketten) en rcode-detector-decoder (20 miljoen installaties totaal, 400 duizend per maand, 66 afhankelijke pakketten). <\/p>\n

Na eerdere compromittering van de accounts wijzigde de aanvaller het composer.json-bestand door in het beschrijvingsveld van het project informatie toe te voegen dat hij op zoek was naar werk in de informatiebeveiliging. Om de wijziging in het composer.json-bestand aan te brengen, verving de aanvaller de URL's van de originele repositories door links naar gemodificeerde forks (in Packagist worden alleen metadata met links naar projecten die op GitHub worden ontwikkeld, verstrekt; bij het uitvoeren van de commando's «composer install» of «composer update» worden de pakketten rechtstreeks van GitHub gedownload). Bijvoorbeeld, voor het pakket acmephp werd de gekoppelde repository vervangen van acmephp\/acmephp naar neskafe3v1\/acmephp. <\/p>\n

Blijkbaar was de aanval niet bedoeld om schadelijke activiteiten uit te voeren, maar als een demonstratie van de onacceptabiliteit van nalatigheid in het gebruik van herhalende inloggegevens op verschillende websites. Daarbij verwittigde de aanvaller in strijd met de gebruikelijke praktijk van «ethisch hacken» de ontwikkelaars van de bibliotheken en de beheerders van de repository niet van het uitgevoerde experiment. Later gaf de aanvaller aan dat hij, zodra hij werk had weten te krijgen, een gedetailleerd rapport zou publiceren over de gebruikte methoden tijdens de aanval. <\/p>\n

Volgens gegevens gepubliceerd door de beheerders van Packagist, zijn in alle accounts die de gecompromitteerde pakketten beheerden, gemakkelijk te raden wachtwoorden gebruikt zonder dat er gebruik werd gemaakt van tweefactorauthenticatie. Er wordt beweerd dat in de gehackte accounts wachtwoorden zijn gebruikt die niet alleen in Packagist werden toegepast, maar ook in andere diensten waarvan de wachtwoorddatabases eerder zijn gecompromitteerd en openbaar zijn geworden. Als alternatief voor toegang kan ook het onderscheppen van e-mail van de eigenaren van accounts zijn gebruikt, die waren gekoppeld aan verlopen domeinen. <\/p>\n

Gecompromitteerde pakketten: <\/p>\n