0xNews - PHP Composer 버그로 인해 공급망 공격 supply-chain 가능 경고

0xNews - PHP Composer 버그로 인해 공급망 공격 supply-chain 가능 경고

SonarSource 연구팀 발표

https://blog.sonarsource.com/php-supply-chain-attack-on-composer

PHP 용 패키지 관리자인 Composer 의 관리자의 버그로 인해 임의 명령 실행 가능

모든 PHP 패키지를 백도어화하여 공급망 공격 supply-chain attack 유발할 수 있는 취약점으로 확인

CVE-2021-29472 지정

2021년 4월 22일 SonarSource 연구팀 발견 후 보고

12시간 전후로 보안 패치의 핫픽스 배포

Composer v.1.10.22 / v.2.0.13 등에 대한 핫픽스 발표와 함께 관련 내용 추가 발표

HgDriver / HgDownloader 의 수정된 명령 주입 취약점 Command Injection 과 다른 VCS 드라이버 및 다운로더 강화에서 발생

현재까지 해당 취약점으로 인한 피해 보고는 없음

Composer 의 명령 주입 취약점 참조 사이트 링크

https://blog.packagist.com/composer-command-injection-vulnerability/

Composer 는 PHP 종속성 관리 도구

프로젝트와 관련된 패키지를 쉽게 설치할 수 있도록 지원

사용자는 Composer 로 설치할 수 있는 모든 공용 PHP 패키지를 집계하는 저장소인 Packagist 에서 사용할 수 있는 PHP 애플리케이션을 설치할 수 있음

이 취약점은 패키지 소스 다운로드 URL 이 처리되는 방식에서 존재

잠재적으로 공격자가 원격 명령 주입을 트리거할 수 있는 시나리오로 연계

이를 증명하기 위해 연구팀은 인수 주입 결함 argument injection flaw 을 악용하여 공격자가 선택한 쉘 명령을 실행하기 위해 리눅스 alias 옵션을 이용하는 악성 저장소 URL 생성

인수 주입 결함에 대한 CVE 에서 참조 링크

CWE-141: Improper Neutralization of Parameter/Argument Delimiters

https://cwe.mitre.org/data/definitions/141.html

매월 1억개 이상의 패키지 메타 데이터 요청을 처리하는 중앙 구성 요소의 취약점으로 인해 공격자가 성공적으로 공격한다면 유지 관리자의 자격 증명을 탈취하거나 패키지 다운로드를 백도어 종속성을 제공하는 타사 서버로 리디렉션하는데 사용 가능

Composer 첫번째 알파 버전은 2013년 7월 3일 출시

이번 취약점 중 하나는 2011년 11월 도입

10년 전 Composer 개발이 시작된 시점부터 취약점 코드가 숨겨져 있다고 판단

Composer 사용자에게 직접 영향을 미치는 영향은 composer.json 파일은 일반적으로 자체 제어하에 있고 소스 다운로드 URL 은 Composer 플러그인과 같은 소스 코드를 다운로드하고 실행하기 위해 명시적으로 신뢰하는 타사 Composer 저장소에서만 제공할 수 있기 때문에 제한됨

composer.json 에 대한 참고 사이트 링크

https://getcomposer.org/doc/01-basic-usage.md