به گزارش کارگروه امنیت سایبربان؛ آسیب پذیری های متعددی در مدیریت کننده های معروف پکیج افشا شده که مهاجمین می توانند در صورت بهره برداری از آن ها، کد دلخواه خود را اجرا و به اطلاعات حساسی مانند کد منبع و توکن ها دسترسی پیدا کنند.
حملات به ماشین توسعه دهنده به صورت مستقیم از راه دور امکان پذیر نمی باشد و لازم است توسعه دهنده، فایل های مشکل دار را بارگذاری کند.
مدیریت کننده های پکیج یا همان پکیج منیجرها سیستم ها یا مجموعه ابزارهایی هستند که به منظور خودکار سازی نصب، ارتقاء و پیکربندی وابستگی های ثالث مورد نیاز برای اپلیکیشن های در حال توسعه مورد استفاده قرار دارد.
شناسایی مشکلات امنیتی در پکیج منیجر های متنوع نشان از آن دارد که مهاجمین می توانند با سوء استفاده از این مدیریت کننده ها قربانیان را به سوی اجرای کدهای مخرب هدایت کنند.
مشکلات امنیتی مذکور در این پکیج منیجرها شناسایی شده است:
- Composer 1.x < 1.10.23 and 2.x < 2.1.9
- Bundler < 2.2.33
- Bower < 1.8.13
- Poetry < 1.1.9
- Yarn < 1.22.13
- pnpm < 6.15.1
- Pip (no fix)
- Pipenv (no fix)
قابل توجه ترین ضعف امنیتی مربوط می شود به یک نقص تزریق فرمان در دستور جستجو در Composer که مهاجمین می توانند با سوء استفاده از آن و از طریق وارد کردن یک URL به پکیج مخرب از پیش منتشر شده ای، کد دلخواه را به دست بیاورند.
به دنبال افشاگری های صورت گرفته در 9 سپتامبر 2021، نسخه های اصلاحیه ای برای Composer، Bundler، Bower، Poetry، Yarn و Pnpm منتشر شد.
توسعه دهندگان همواره هدف جذابی برای مجرمین سایبری محسوب می شوند چرا که آن ها به مالکیت معنوی بسیاری از دارایی های مرکزی یک شرکت دسترسی دارند.
در معرض خطر انداختن توسعه دهندگان این امکان را به مهاجمین می دهد تا اقدام به جاسوسی کنند و کد مخرب در محصولات شرکت تعبیه کنند.
