Lỗ hổng 15 năm tuổi trong kho lưu trữ PEAR PHP có thể tấn công chuỗi cung ứng

[tathoa0607]

Lỗ hổng 15 năm tuổi đã được công bố trong kho lưu trữ PEAR PHP (PHP Extension and Application Repository) - một framework và hệ thống phân phối cho các thành phần PHP có thể tái sử dụng khai thác thành công lỗ hổng, cho phép thực hiện tấn công chuỗi cung ứng, bao gồm cả việc truy cập trái phép để giả mạo các packages và thực thi mã tùy ý.

Thomas Chauchefoin - nhà nghiên cứu lỗ hổng của SonarSource, cho biết: “Với lỗi đầu tiên, hacker có thể khai thác bất kỳ tài khoản nào của nhà phát triển và tạo ra các phiên bản phát hành bị nhiễm mã độc. Trong khi lỗi thứ hai sẽ cho phép chúng quyền truy cập trực tiếp vào PEAR Server”.

Một trong những lỗ hổng được công bố vào tháng 3 năm 2007, liên quan đến việc sử dụng hàm PHP mt_rand () không an toàn về mặt mã hóa trong chức năng đặt lại mật khẩu có thể cho phép hacker phát hiện ra mật khẩu hợp lệ và đặt lại mã thông báo sau chưa đầy 50 lần thử. Bằng cách khai thác này, kẻ xấu có thể nhắm mục tiêu đến các tài khoản nhà phát triển hoặc quản trị viên để chiếm đoạt và phát hành các phiên bản bị trojan hóa trong thư viện của nhà phát triển.

Lỗ hổng thứ hai, yêu cầu hacker phải kết hợp với lỗ hổng đầu tiên để đạt được quyền truy cập. Bắt nguồn từ việc Pearweb đang sử dụng phiên bản Archive_Tar - phiên bản dễ bị lỗi truyền tải thư mục (CVE-2020-36193 , Điểm CVSS: 7,5), dẫn đến việc thực thi mã tùy ý- ACE (arbitrary code execution).

Những lỗ hổng này đánh dấu lần thứ hai các vấn đề an ninh trong chuỗi cung ứng PHP bị phát hiện trong khoảng chưa đầy một năm. Vào cuối tháng 4 năm 2021, các lỗ hổng nghiêm trọng đã được tiết lộ trong trình quản lý Composer PHP có thể cho phép tin tặc khai thác và thực thi các lệnh tùy ý.

Với các cuộc tấn công chuỗi cung ứng phần mềm đang nổi lên như một mối đe dọa nguy hiểm nhằm vào các thư viện được sử dụng rộng rãi trong NPM, các vấn đề an ninh gắn với sự phụ thuộc vào mã nguồn của các phần mềm đang dần nóng trở lại, khiến cho việc “vũ khí hóa mã nguồn mở" là một hành động phá hoại mạng đáng báo động.

Theo: Thehackernews​