Крупнейший репозиторий PHP-пакетов Packagist был критически уязвим

Крупнейший репозиторий PHP-пакетов Packagist был критически уязвим

Разработчики Packagist, крупнейшего репозитория в экосистеме PHP, устранили критическую уязвимость, которая затрагивала официальный сайт проекта. Эта брешь вполне могла позволить злоумышленнику получить контроль над сервисом.

О недостатке безопасности сообщил исследователь Макс Юстич. По его словам, поле ввода «Submit Package», используемое на главной странице для отправки новых пакетов PHP, позволяло атакующему запустить вредоносную команду в формате «$(MALICIOUS_COMMANDS)».

Основная причина этой проблема крылась в том, что сервис ожидал в этом поле URL-адрес, который бы вел на сервера Git, Perforce, Subversion или Mercurial. Таким образом, Packagist неправильно обрабатывал вводимые символы при проверке этого условного URL.

Это позволяло любому злоумышленнику дважды запустить вредоносную команду — первый раз, когда проверялся репозиторий Perforce, второй раз – когда проверялся репозиторий Subversion. Далее уже все зависело от уровня навыков атакующего, к примеру, он мог легко захватить базовый сервер Packagist.

Юстич уведомил в блоге, что в настоящее время уязвимость устранена.

Packagist является самым крупным хостом для хранения пакетов PHP. В июле 2018 года было зарегистрировано более 435 миллионов пакетов.

На данный момент сама команда Packagist никак не прокомментировала наличие бреши и выпуск патча для нее.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Крупнейший рынок марихуаны в даркнете закрылся после мощной DDoS-атаки

Операторы теневого маркетплейса Cannazon отключили свои серверы, объявив, что уходят на покой. Видимо, им так и не удалось восстановить работоспособность ресурсов после DDoS-атаки, положившей и основной onion-сайт, и его зеркала.

Торговая площадка Cannazon заработала в сети Tor весной 2018 года. Там в основном выставлялись к продаже препараты на основе конопли, и очень скоро этот маркетплейс стал крупнейшим поставщиком такого товара в страны Европы.

В начале этого месяца продавцы и покупатели марихуаны начали испытывать трудности с доступом к Cannazon; у многих не работали даже приватные ссылки. Две недели назад на сервисе появилось разъяснение: сайт находится под мощной DDoS-атакой, операторы надеются, что им удастся справиться с проблемой.

 

Пользователей охватила паника: известны случаи, когда владельцы доходного, но противозаконного сервиса попросту сливались, прихватив с собой деньги партнеров (в среде киберкриминала такой побег называют exit scam).

Однако админ Cannazon продолжил публиковать «вести с фронта», а на прошлой неделе заявил, что они сворачивают операции, погасив все задолженности партнерам.

 

Вчера, по свидетельству BleepingComputer, одиозный маркетплейс ушел в офлайн. Не исключено, что в Tor появятся его клоны, с тем же именем, но другим адресом. Осиротевшая аудитория Cannazon ринется туда, но может наткнуться на мошенников — такие случаи в преступном мире тоже нередки.

Нелегальных торговых площадок в даркнете великое множество, и правоохранители стараются закрыть хотя бы самые крупные из них. Так, в прошлом году блюстителям правопорядка удалось захватить серверы и задержать оператора DarkMarket, а также  провести масштабную операцию Disruptor по поимке продавцов и покупателей запрещенных товаров и услуг.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru