建站
咨詢
售后
建站咨詢
新聞中心
Composer是PHP中管理和安全軟件依賴的主要工具，被開發(fā)團隊廣泛應(yīng)用于更新過程等。因此，Composer使用名為Packagist 的在線服務(wù)來確定包下載供應(yīng)鏈的正確性。而Packagist每個月的下載請求在14億次左右。
研究人員在進行安全研究時，在 Packagist使用的Composer源碼中發(fā)現(xiàn)了一個嚴重的安全漏洞，漏洞CVE編號為CVE-2021-29472。攻擊者利用該漏洞可以在Packagist.org 服務(wù)器上執(zhí)行任意系統(tǒng)命令。此外，攻擊者還可以進一步竊取維護者憑證，或?qū)螺d重定向到傳播后門依賴的第三方服務(wù)器。
漏洞分析
在請求下載包時，Composer 首先會查詢Packagist來獲取元數(shù)據(jù)。元數(shù)據(jù)中包含2個獲取代碼源的域source和dist。Source只想開發(fā)庫，dist只想預(yù)構(gòu)建的庫。Composer在從庫中下載代碼時會使用外部系統(tǒng)命令來避免重新實現(xiàn)針對每隔版本控制軟件的邏輯。因此，這些調(diào)用都是用wrapper ProcessExecutor來執(zhí)行的：
- composer/src/Composer/Util/ProcessExecutor.php
- use Symfony\Component\Process\Process;
- // [...]
- class ProcessExecutor
- {
- // [...]
- public function execute($command, &$output = null, $cwd = null)
- {
- if (func_num_args() > 1) {
- return $this->doExecute($command, $cwd, false, $output);
- }
- return $this->doExecute($command, $cwd, false);
- }
- // [...]
- private function doExecute($command, $cwd, $tty, &$output = null)
- {
- // [...]
- if (method_exists('Symfony\Component\Process\Process', 'fromShellCommandline')) {
- // [1]
- $process = Process::fromShellCommandline($command, $cwd, null, null, static::getTimeout());
- } else {
- // [2]
- $process = new Process($command, $cwd, null, null, static::getTimeout());
- }
- if (!Platform::isWindows() && $tty) {
- try {
- $process->setTty(true);
- } catch (RuntimeException $e) {
- // ignore TTY enabling errors
- }
- }
- $callback = is_callable($output) ? $output : array($this, 'outputHandler');
- $process->run($callback);
在 [1]和[2]中，可以看到參數(shù) $command 是在shell中執(zhí)行的。大多數(shù)的ProcessExecutor 調(diào)用都是在版本控制軟件驅(qū)動中執(zhí)行的，版本控制軟件負載原創(chuàng)和本地庫的所有操作。比如，在Git驅(qū)動中：
- composer/src/Composer/Repository/Vcs/GitDriver.php
- public static function supports(IOInterface $io, Config $config, $url, $deep = false)
- {
- if (preg_match('#(^git://|\.git/?$|git(?:olite)?@|//git\.|//github.com/)#i', $url)) {
- return true;
- }
- // [...]
- try {
- $gitUtil->runCommand(function ($url) {
- return 'git ls-remote --heads ' . ProcessExecutor::escape($url); // [1]
- }, $url, sys_get_temp_dir());
- } catch (\RuntimeException $e) {
- return false;
- }
使用ProcessExecutor::escape() 可以將參數(shù)$url 逃逸以預(yù)防子命令($(...), `...`) ，但是無法預(yù)防用戶提供(--)開頭的值，只要加上其他的參數(shù)就可以成為最終的命令。這類漏洞就叫做參數(shù)注入。
類似的有漏洞的模式也出現(xiàn)在其他驅(qū)動中，用戶控制的數(shù)據(jù)可以成功繞過檢查并連接在一起成為系統(tǒng)命令：
- composer/src/Composer/Repository/Vcs/SvnDriver.php
- public static function supports(IOInterface $io, Config $config, $url, $deep = false)
- {
- $url = self::normalizeUrl($url);
- if (preg_match('#(^svn://|^svn\+ssh://|svn\.)#i', $url)) {
- return true;
- }
- // [...]
- $process = new ProcessExecutor($io);
- $exit = $process->execute(
- "svn info --non-interactive ".ProcessExecutor::escape($url),
- $ignoredOutput
- );
- composer/src/Composer/Repository/Vcs/HgDriver.php
- public static function supports(IOInterface $io, Config $config, $url, $deep = false)
- {
- if (preg_match('#(^(?:https?|ssh)://(?:[^@]+@)?bitbucket.org|https://(?:.*?)\.kilnhg.com)#i', $url)) {
- return true;
- }
- // [...]
- $process = new ProcessExecutor($io);
- $exit = $process->execute(sprintf('hg identify %s', ProcessExecutor::escape($url)), $ignored);
- return $exit === 0;
- }
更多技術(shù)細節(jié)參見：https://blog.sonarsource.com/php-supply-chain-attack-on-composer
補丁
研究人員將該漏洞提交給Packagist團隊后，該團隊快速反應(yīng)，在12個小時內(nèi)就部署了安全補丁。
本文翻譯自：https://blog.sonarsource.com/php-supply-chain-attack-on-composer
本文題目：PHP Composer漏洞可能引發(fā)供應(yīng)鏈攻擊
本文鏈接：http://www.5511xx.com/article/cdseopd.html
