Met 'n afhanklikheidsaanval kan kode in PayPal, Microsoft, Apple, Netflix, Uber en 30 ander maatskappye uitgevoer word Van Linux
'N Afhanklikheidsaanval laat kode-uitvoering toe by PayPal, Microsoft, Apple, Netflix, Uber en 30 ander maatskappye
Donkerkrizt | | Nuus
N paar dae gelede 'n verrassend eenvoudige metode is vrygestel wat aanvallende afhanklikhede in toepassings toelaat wat ontwikkel word met behulp van interne pakketbewaarplekke. Die navorsers wat die probleem geïdentifiseer het hulle kon u kode uitvoer op die interne bedieners van 35 maatskappye, waaronder PayPal, Microsoft, Apple, Netflix, Uber, Tesla en Shopify.
Die hacks is uitgevoer as deel van die Bug Bounty-programme, in samewerking met die aangevalle maatskappye, en die oortreders het reeds $ 130.000 XNUMX bonusse ontvang vir die identifisering van kwesbaarhede.
Die metode is gebaseer op die feit dat baie ondernemings gebruik standaard-afhanklikheid van NPM, PyPI en RubyGems in hul interne toepassings, sowel as interne afhanklikhede wat nie publiek versprei of afgelaai word vanaf hul eie bewaarplekke nie.
Die probleem is dat pakketbestuurders soos npm, pip en juweel hulle probeer om die interne afhanklikheid van die maatskappye af te laai, selfs van die openbare bewaarplekke. Vir 'n aanval, definieer net die name van die pakkette met interne afhanklikhede en skep u eie pakkette met dieselfde name in die openbare bewaarplekke van NPM, PyPI en RubyGems.
Die probleem is nie spesifiek vir NPM, PyPI en RubyGems nie, en dit manifesteer ook op ander stelsels soos NuGet, Maven en Yarn.
By die aflaai van afhanklikhede het die pakketbestuurders npm, pip en gem hoofsaaklik pakkette geïnstalleer van die primêre openbare bewaarplekke NPM, PyPI en RubyGems, wat as hoër prioriteit beskou is.
Die teenwoordigheid van soortgelyke pakkette met dieselfde name in die bewaarplekke van private maatskappye is geïgnoreer sonder om enige waarskuwing te toon of om ongelukke te veroorsaak. wat die aandag van administrateurs kan trek. In PyPI is die aflaaiprioriteit beïnvloed deur die weergawenommer (ongeag die bewaarplek, die mees onlangse weergawe van die pakket is afgelaai). In NPM en RubyGems was die prioriteit slegs afhanklik van die bewaarplek.
Die navorser het pakkette in bewaarplekke van NPM, PyPI en RubyGems geplaas wat die name van die gevind interne afhanklikhede kruis, en kode byvoeg by die script wat loop voordat dit geïnstalleer word (vooraf geïnstalleer in NPM) om inligting oor die stelsel in te samel en die ontvangde inligting te stuur aan die eksterne gasheer.
Om inligting oor die sukses van die hack oor te dra, omseil firewalls wat eksterne verkeer blokkeer, die metode om geheime kanaalkommunikasie oor die DNS-protokol te organiseer. Die kode wat aan die gang was, het die gasheer in die aanvallende domein opgelos onder die beheer van die aanvallende domein, wat dit moontlik gemaak het om inligting oor suksesvolle bewerkings op die DNS-bediener in te samel. Inligting oor gasheer, gebruikersnaam en huidige pad is deurgegee.
Volledige pad na artikel: Van Linux » Nuus » 'N Afhanklikheidsaanval laat kode-uitvoering toe by PayPal, Microsoft, Apple, Netflix, Uber en 30 ander maatskappye