流行软件包管理器中存在多个安全缺陷

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

摘要

流行包管理器Composer、Bundler、Bower、Poetry、Yarn、pnpm、Pip、Pip 和 Pipenv中存在多个安全漏洞，如遭利用可运行任意代码并访问受陷机器中的敏感信息如源代码和访问令牌等。

不过值得注意的是这些缺陷要求目标开发人员处理与受影响包管理器之一相关的恶意程序包。

SonarSource 公司的研究员 Paul Gerste 表示，“这意味着无法远程直接攻击开发者机器，并要求诱骗开发者加载畸形文件。但是否可以一直了解并信任从互联网或公司内部仓库使用的所有程序包的所有人？”

包管理器指的是用于自动化安装、升级、配置开发应用程序的第三方依赖关系的系统或一系列工具。虽然对于入侵包仓库的恶意包存在继承风险（说明应正确清理依赖关系，使其免遭typosquatting 和依赖混淆攻击），但“管理依赖的行为通常不被视作潜在的风险操作”。

但最近从多个包管理器中发现的问题表明，这些包可被用于诱骗受害者执行恶意代码。这些漏洞位于如下包管理器中：

其中最重要的弱点是位于Composer 浏览命令中的命令注入缺陷，攻击者可将URL插入已经发布的恶意包中，执行任意代码。

如程序包利用typosquatting 或依赖混淆技术，则可能导致运行库浏览命令，导致检索下一个阶段payload，从而发动进一步攻击。

Bundler、Poetry、Yarn、Composer、Pip和Pipenv 中存在其它参数注入和不受信任的搜索路径漏洞，意味着恶意人员可通过含恶意软件的git可执行文件或受攻击者控制的文件如Gemfile 获得代码执行权限。

研究人员在2021年9月9日负责任地披露这些漏洞后，Composer、Bundler、Bower、Poetry、Yarn 和 Pnpm 已发布修复方案解决了这些漏洞。但均受不受信任搜索路径缺陷影响的三个包管理器 Composer、Pip和Pipenv 选择不修复这些漏洞。

Gerste 指出，“由于开发人员能够访问企业的核心知识资产源代码，因此他们已成为网络犯罪分子的香饽饽。攻陷开发人员可使攻击者开展间谍活动或者将恶意代码嵌入公司产品中。这种行为甚至可以触发供应链攻击。”

原文链接

https://thehackernews.com/2022/03/multiple-security-flaws-discovered-in.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~

原文始发于微信公众号（代码卫士）：流行软件包管理器中存在多个安全缺陷