PHP包管理器Composer组件 Packagist中存在漏洞，可导致软件供应链攻击

SonarSource 公司的安全研究员发现，PHP 应用程序的主要包管理器 Composer的重要组件 Packagist 中含有一个漏洞，可被滥用于攻击编码仓库。

Packagist 可使Composer 判断并下载软件依赖，供软件开发人员在项目中使用。Composer 每个月大约提供20亿个软件包。该漏洞可被用于向服务器分发恶意后门包，影响35万个依赖。好在，就在报告给项目维护人员的几小时内，漏洞就得到修复。

一年前，研究人员曾在 Packagist 中发现并报告了另外一个供应链漏洞。该漏洞位于与版本控制系统如Git、Mercurial和 Subversion 交互以解析代码仓库中依赖的类中。虽然Packagist 的维护人员修复了该漏洞，但研究人员发现该类实现的另外一些部分仍然易受攻击。

漏洞研究员 Thomas Chauchefoin 指出，“之前的研究帮助我们快速导航到代码库的重点部分，但同时我们在审计和之前漏洞相关的代码和补丁时，多次错过现在的这个漏洞。”

为了显示程序包信息，Packagist 从 readme.md 或代码仓库中的用户指定文件中读取内容。Packagist 中包含单个实现，用于从不同的VCS系统中检索文件数据。每个实现都由包含用户所提供文件内容的shell命令组成。

研究人员指出，如果攻击者在信息文件中插入恶意命令，则这些命令以参数的方式插入在系统上运行的shell命令中。而且即使Packagist使用逃逸机制阻止恶意代码，仍然留下一些敞口。

研究人员在 PoC 视频中展示了如何利用该漏洞在服务器上运行任意命令。

攻击者可滥用该漏洞修改包定义并将其指向非预期目的，在这一过程中污染软件开发管道。Chauchefoin评论道，“与之前数十年我们向开发人员推送的所有技术相比，防御参数注入漏洞非常不寻常，我认为这就是我们为何找到很多这类漏洞的原因。虽然第三方数据可被编码、逃逸和严格验证，但通常这还不够！”

Packagist 维护人员很快修复了上述漏洞。如果你使用的是官方默认的Packagist 实例或 Private Packagist，则是安全的。如果你将 Composer集成为一个库并在不可信仓库上运行，则必须升级至该库的其中一个已修复版本。

Chauchefoin 指出，“距离之前发现漏洞的一年后，一切都没有改变。而由于这些重要项目是多年努力的结果，因此情有可原。执行多种特性如签名任意build工件（程序包）将可能在数百万开发人员的工作流中引入不小的改变。”

同时，Chauchefoin 希望更多像sigstore的新标准出台，助力缓解供应链攻击，“在理想情况下，包管理器应当仅仅是维护人员和包用户之间的通道，在里面流动的内容不应遭篡改。签名一切是关键，sigstore让一切更加可控。”