PHP supply-chain-attack: i bravi ragazzi sono arrivati prima dei cattivi.

Dei ricercatori svizzeri di sicurezza informatica hanno recentemente scoperto delle falle di sicurezza in Composer, lo strumento software che i team di programmazione utilizzano per accedere al Packagist, il principale archivio online di moduli software PHP.

Questi bug avrebbero potuto consentire ai criminali informatici di di impiantare del malware all’interno del sistema Packagist stesso, contaminando così lo stesso repository utilizzato da gran parte della comunità PHP.

Questo tipo di attacco è noto, per ovvi motivi, come un attacco alla catena di approvvigionamento (supply-chain-attack).

Fortunatamente il team di Composer ha rilasciato una hotfix in sole 12 ore e una patch ufficiale dopo cinque giorni.

Anche se i ricercatori hanno riferito che “alcuni dei codici vulnerabili erano presenti sin dalle prime versioni di Composer, 10 anni fa”, ma sembra che questa fosse la prima volta che questi difetti siano stati individuati.

Se sei sorpreso che così tanti fornitori di software, sia open source che commerciali, si affidino direttamente a repository di codice centralizzato che non riescono a controllare pienamente, non dovresti esserlo.

Dopotutto, oggi nessuna azienda produce tutto il suo software, ma utilizza componenti presenti all’interno di repository centralizzati, dove nell’era degli attacchi alle catene di approvvigionamento, la mancata sicurezza di questi “contenitori” miete vittime più che ogni altro attacco cyber, come abbiamo visto in Solarwinds.

Quasi tutte le moderne comunità di sviluppo software hanno enormi tesori online di codice sorgente già impacchettato e pronto per essere utilizzato nel tuo software, come di fatto ci è stato insegnato di fare nella programmazione ad oggetti (OOP), il modo per promuovere ciò che è noto nel settore come riutilizzo del codice.

L’idea è di ovviare alla necessità per ogni programmatore e ogni azienda di software nel mondo di reinventare, riprogettare e reimplementare i componenti software principali che già sono stati collaudati e funzionano bene.

Ma se qualcuno inserisce al loro interno del malware…

Nel caso di PHP, sembra che i bravi ragazzi abbiano scoperto questi bug prima che lo facessero i cattivi. Sarà vero?

Fonte

https://nakedsecurity.sophos.com/2021/04/30/php-community-sidesteps-its-third-supply-chain-attack-in-three-years/amp/

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.