PHP supply-chain-attack: i bravi ragazzi sono arrivati prima dei cattivi.

Dei ricercatori svizzeri di sicurezza informatica hanno recentemente scoperto delle falle di sicurezza in Composer, lo strumento software che i team di programmazione utilizzano per accedere al Packagist, il principale archivio online di moduli software PHP.

Questi bug avrebbero potuto consentire ai criminali informatici di di impiantare del malware all’interno del sistema Packagist stesso, contaminando così lo stesso repository utilizzato da gran parte della comunità PHP.

Questo tipo di attacco è noto, per ovvi motivi, come un attacco alla catena di approvvigionamento (supply-chain-attack).

Fortunatamente il team di Composer ha rilasciato una hotfix in sole 12 ore e una patch ufficiale dopo cinque giorni.

Anche se i ricercatori hanno riferito che “alcuni dei codici vulnerabili erano presenti sin dalle prime versioni di Composer, 10 anni fa”, ma sembra che questa fosse la prima volta che questi difetti siano stati individuati.

Se sei sorpreso che così tanti fornitori di software, sia open source che commerciali, si affidino direttamente a repository di codice centralizzato che non riescono a controllare pienamente, non dovresti esserlo.

Dopotutto, oggi nessuna azienda produce tutto il suo software, ma utilizza componenti presenti all’interno di repository centralizzati, dove nell’era degli attacchi alle catene di approvvigionamento, la mancata sicurezza di questi “contenitori” miete vittime più che ogni altro attacco cyber, come abbiamo visto in Solarwinds.

Quasi tutte le moderne comunità di sviluppo software hanno enormi tesori online di codice sorgente già impacchettato e pronto per essere utilizzato nel tuo software, come di fatto ci è stato insegnato di fare nella programmazione ad oggetti (OOP), il modo per promuovere ciò che è noto nel settore come riutilizzo del codice.

L’idea è di ovviare alla necessità per ogni programmatore e ogni azienda di software nel mondo di reinventare, riprogettare e reimplementare i componenti software principali che già sono stati collaudati e funzionano bene.

Ma se qualcuno inserisce al loro interno del malware…

Nel caso di PHP, sembra che i bravi ragazzi abbiano scoperto questi bug prima che lo facessero i cattivi. Sarà vero?

Fonte

https://nakedsecurity.sophos.com/2021/04/30/php-community-sidesteps-its-third-supply-chain-attack-in-three-years/amp/

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.