{"id":108322,"date":"2023-05-04T12:48:14","date_gmt":"2023-05-04T10:48:14","guid":{"rendered":"https:\/\/prohoster.info\/?p=108322"},"modified":"2023-05-04T18:45:37","modified_gmt":"2023-05-04T16:45:37","slug":"perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/perehvachen-kontrol-nad-14-php-bibliotkami-v-repozitorii-packagist","title":{"rendered":"Controle sobre 14 bibliotecas PHP foi interceptado no reposit\u00f3rio Packagist","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Os administradores do reposit\u00f3rio de pacotes Packagist revelaram detalhes sobre um ataque que resultou na obten\u00e7\u00e3o de controle sobre as contas que mant\u00eam 14 bibliotecas PHP, incluindo pacotes populares como instantiator (526 milh\u00f5es de instala\u00e7\u00f5es no total, 8 milh\u00f5es por m\u00eas, 323 pacotes dependentes), sql-formatter (94 milh\u00f5es de instala\u00e7\u00f5es no total, 800 mil por m\u00eas, 109 pacotes dependentes), doctrine-cache-bundle (73 milh\u00f5es de instala\u00e7\u00f5es no total, 500 mil por m\u00eas, 348 pacotes dependentes) e rcode-detector-decoder (20 milh\u00f5es de instala\u00e7\u00f5es no total, 400 mil por m\u00eas, 66 pacotes dependentes). <\/p>\n

Ap\u00f3s a comprometa\u00e7\u00e3o das contas, o atacante modificou o arquivo composer.json, acrescentando no campo de descri\u00e7\u00e3o do projeto informa\u00e7\u00f5es de que est\u00e1 em busca de um emprego relacionado \u00e0 seguran\u00e7a da informa\u00e7\u00e3o. Para realizar a modifica\u00e7\u00e3o no arquivo composer.json, o atacante trocou as URLs dos reposit\u00f3rios originais por links para forks modificados (no Packagist, s\u00e3o fornecidos apenas os metadados com links para projetos desenvolvidos no GitHub; ao executar o comando \u2018composer install\u2019 ou \u2018composer update\u2019, os pacotes s\u00e3o baixados diretamente do GitHub). Por exemplo, para o pacote acmephp, o reposit\u00f3rio vinculado foi alterado de acmephp\/acmephp para neskafe3v1\/acmephp. <\/p>\n

Pelo que parece, o ataque n\u00e3o foi realizado com a inten\u00e7\u00e3o de causar danos maliciosos, mas como uma demonstra\u00e7\u00e3o da inaceitabilidade da neglig\u00eancia no uso de credenciais repetidas em diferentes sites. Nesse caso, o atacante, ao contr\u00e1rio da pr\u00e1tica estabelecida de \u2018hackeamentos \u00e9ticos\u2019, n\u00e3o notificou previamente os desenvolvedores das bibliotecas e os administradores do reposit\u00f3rio sobre o experimento que estava sendo realizado. Posteriormente, o atacante informou que, ap\u00f3s conseguir um emprego, publicar\u00e1 um relat\u00f3rio detalhado sobre os m\u00e9todos utilizados no ataque. <\/p>\n

De acordo com os dados divulgados pelos administradores do Packagist, todas as contas que gerenciavam os pacotes comprometidos utilizavam senhas facilmente adivinh\u00e1veis e n\u00e3o possu\u00edam autentica\u00e7\u00e3o de dois fatores habilitada. \u00c9 afirmado que nas contas hackeadas haviam senhas que foram utilizadas n\u00e3o apenas no Packagist, mas tamb\u00e9m em outros servi\u00e7os, cujas bases de dados de senhas haviam sido comprometidas anteriormente e tornadas p\u00fablicas. Como alternativa para obter acesso, tamb\u00e9m poderia ter sido utilizado o sequestro do email dos propriet\u00e1rios das contas, que estavam vinculados a dom\u00ednios expirados. <\/p>\n

Pacotes comprometidos: <\/p>\n