{"id":108322,"date":"2023-05-04T12:48:14","date_gmt":"2023-05-04T10:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=108322"},"modified":"2023-05-04T18:45:37","modified_gmt":"2023-05-04T16:45:37","slug":"perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","title":{"rendered":"Przej\u0119to kontrol\u0119 nad 14 bibliotekami PHP w repozytorium Packagist.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Administratorzy repozytorium pakiet\u00f3w Packagist ujawnili szczeg\u00f3\u0142y ataku, w wyniku kt\u00f3rego przej\u0119to kontrol\u0119 nad kontami opiekun\u00f3w 14 bibliotek PHP, w tym tak popularnych pakiet\u00f3w, jak instantiator (526 mln instalacji w sumie, 8 mln instalacji w miesi\u0105cu, 323 pakiety zale\u017cne), sql-formatter (94 mln instalacji w sumie, 800 tys. w miesi\u0105cu, 109 pakiet\u00f3w zale\u017cnych), doctrine-cache-bundle (73 mln instalacji w sumie, 500 tys. w miesi\u0105cu, 348 pakiet\u00f3w zale\u017cnych) oraz rcode-detector-decoder (20 mln instalacji w sumie, 400 tys. w miesi\u0105cu, 66 pakiet\u00f3w zale\u017cnych). <\/p>\n

Po kompromitacji kont atakuj\u0105cy zmieni\u0142 plik composer.json, dodaj\u0105c w polu opisu projektu informacj\u0119, \u017ce szuka pracy zwi\u0105zanej z bezpiecze\u0144stwem informacji. Aby wprowadzi\u0107 zmiany w pliku composer.json, atakuj\u0105cy zast\u0105pi\u0142 adresy URL oryginalnych repozytori\u00f3w linkami do zmodyfikowanych fork\u00f3w (w Packagist s\u0105 dost\u0119pne jedynie metadane z linkami do projekt\u00f3w rozwijanych na GitHubie, a podczas instalacji za pomoc\u0105 polecenia \u201ecomposer install\u201d lub \u201ecomposer update\u201d pakiety s\u0105 \u0142adowane bezpo\u015brednio z GitHuba). Na przyk\u0142ad, dla pakietu acmephp powi\u0105zane repozytorium zosta\u0142o zmienione z acmephp\/acmephp na neskafe3v1\/acmephp. <\/p>\n

Jak wida\u0107, atak nie by\u0142 przeprowadzony w celu dokonania szkodliwych dzia\u0142a\u0144, ale jako demonstracja niedopuszczalno\u015bci lekkomy\u015blnego korzystania z powtarzaj\u0105cych si\u0119 danych logowania na r\u00f3\u017cnych stronach. Przy tym atakuj\u0105cy wbrew panuj\u0105cej praktyce \u201eetycznych hack\u00f3w\u201d wcze\u015bniej nie powiadomi\u0142 tw\u00f3rc\u00f3w bibliotek ani administrator\u00f3w repozytori\u00f3w o przeprowadzanym eksperymencie. P\u00f3\u017aniej atakuj\u0105cy poinformowa\u0142, \u017ce po zdobyciu pracy opublikuje szczeg\u00f3\u0142owy raport na temat metod u\u017cywanych w ataku. <\/p>\n

Zgodnie z informacjami opublikowanymi przez administrator\u00f3w Packagist, we wszystkich kontach zarz\u0105dzaj\u0105cych skompromitowanymi pakietami u\u017cywano \u0142atwych do odgadni\u0119cia hase\u0142 bez w\u0142\u0105czenia dwuetapowej weryfikacji. Twierdzi si\u0119, \u017ce w skradzionych kontach u\u017cyto hase\u0142, kt\u00f3re by\u0142y stosowane nie tylko w Packagist, ale i w innych serwisach, kt\u00f3rych bazy hase\u0142 zosta\u0142y wcze\u015bniej skompromitowane i trafi\u0142y do publicznego dost\u0119pu. Mo\u017cliw\u0105 metod\u0105 uzyskania dost\u0119pu mog\u0142o by\u0107 r\u00f3wnie\u017c przej\u0119cie adres\u00f3w e-mail w\u0142a\u015bcicieli kont, kt\u00f3re by\u0142y powi\u0105zane z wygas\u0142ymi domenami. <\/p>\n

Skonfiskowane pakiety: <\/p>\n