搜索

[28753] 2021-02-12_安全研究人员通过利用开放源代码存储库违反了Apple，Microsoft和其他公司

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-19
2021-02-12_安全研究人员通过利用开放源代码存储库违反了Apple，Microsoft和其他公司 安 全 研 究 人 员 通 过 利 用 开 放 源 代 码 存 储 库 违 反 了 A p p l e ， M i c r o s o f t 和 其 他 公 司 D U N C A N   R I L E Y   O t s 安 全   2 0 2 1 - 0 2 - 1 2 一 位 安 全 研 究 人 员 发 现 了 一 个 安 全 漏 洞 ， 该 漏 洞 使 他 可 以 通 过 利 用 开 源 在 包 括 苹 果 公 司 ， 微 软 公 司 ， N e t f l i x 公 司 ， 贝 宝 控 股 公 司 ， 特 斯 拉 公 司 等 在 内 的 主 要 公 司 的 内 部 系 统 上 运 行 代 码 仓 库 。   研 究 人 员 和 道 德 黑 客 A l e x   B i r s a n 在 周 二 晚 间 详 细 介 绍 了 供 应 链 攻 击 ， 并 涉 及 将 恶 意 软 件 上 传 到 开 放 源 代 码 存 储 库 ， 包 括 P y P I ， n p m 和 R u b y G e m s ， 随 后 将 其 分 发 到 下 游 。 根 据 B l e e p i n g   C o m p u t e r 的 说 法 ， 由 于 开 源 生 态 系 统 中 的 一 种 设 计 缺 陷 （ 称 为 “ 依 赖 混 乱 ” ） ， 受 害 人 自 动 接 收 到 了 恶 意 代 码 ， 因 此 受 害 者 无 需 采 取 任 何 行 动 即 可 对 其 进 行 供 应 链 攻 击 。 该 技 术 也 被 M i c r o s o f t   C o r p . 称 为 “ 替 代 攻 击 ” ， 它 允 许 威 胁 行 为 者 仅 通 过 在 公 开 的 开 源 软 件 包 索 引 中 注 册 内 部 库 名 称 ， 就 可 以 将 恶 意 代 码 潜 入 私 有 代 码 存 储 库 中 。 从 上 载 到 n p m 注 册 表 的 恶 意 节 点 程 序 包 开 始 ， B i r s a n 然 后 进 一 步 进 入 其 他 存 储 库 ， 以 了 解 他 可 以 利 用 该 漏 洞 的 程 度 。 “ 为 了 在 基 于 数 据 识 别 组 织 的 能 力 和 避 免 收 集 太 多 敏 感 信 息 的 需 求 之 间 取 得 平 衡 ， 我 决 定 只 记 录 每 个 唯 一 安 装 的 用 户 名 ， 主 机 名 和 当 前 路 径 ， ”   B i r s a n 解 释 说 。 “ 与 外 部 I P 一 起 ， 这 仅 仅 是 足 够 的 数 据 ， 可 以 帮 助 安 全 团 队 根 据 我 的 报 告 确 定 可 能 存 在 漏 洞 的 系 统 。 ” 微 软 还 发 布 了 有 关 该 主 题 的 白 皮 书 ， 该 白 皮 书 探 讨 了 此 类 攻 击 所 涉 及 的 风 险 。 微 软 白 皮 书 指 出 ： “ 客 户 使 用 的 一 种 常 见 的 混 合 配 置 是 将 内 部 软 件 包 存 储 在 私 有 提 要 上 ， 但 允 许 从 公 共 提 要 中 检 索 依 赖 项 。 ”   “ 这 确 保 从 不 需 要 更 新 的 包 中 引 用 最 新 的 包 版 本 时 ， 它 们 就 会 自 动 被 采 用 。 内 部 开 发 人 员 将 软 件 包 发 布 到 此 私 有 提 要 ， 并 且 消 费 者 会 在 私 有 和 公 共 提 要 中 检 查 所 需 软 件 包 的 最 佳 可 用 版 本 。 这 种 配 置 带 来 了 供 应 链 风 险 ： 替 代 攻 击 。 ” 网 络 安 全 和 法 规 遵 从 解 决 方 案 公 司 T r i p w i r e   I n c . 的 首 席 安 全 研 究 员 C r a i g   Y o u n g 告 诉 S i l i c o n A N G L E ， 这 是 一 个 非 常 严 重 的 行 业 问 题 。
Y o u n g 解 释 说 ： “ 各 组 织 在 重 塑 每 个 轮 子 ， 签 订 昂 贵 的 许 可 协 议 或 使 用 开 源 软 件 之 间 面 临 着 不 断 的 选 择 。 ”   “ 拥 抱 开 源 使 许 多 企 业 蓬 勃 发 展 ， 同 时 以 极 其 模 糊 的 供 应 链 为 代 价 ， 降 低 了 初 期 开 发 的 成 本 。 理 想 情 况 下 ， 应 该 使 软 件 开 发 公 司 适 应 外 部 来 源 的 软 件 中 发 生 的 每 项 更 改 ， 但 实 际 上 ， 对 于 中 等 复 杂 性 的 软 件 项 目 而 言 ， 这 几 乎 是 不 可 能 的 。 ” 他 补 充 说 的 问 题 是 ， 依 赖 关 系 链 会 迅 速 失 控 ， 并 且 经 常 有 充 分 的 理 由 想 要 快 速 更 新 ， 例 如 安 全 性 或 常 规 错 误 修 复 。 他 说 ： “ 识 别 ， 解 释 和 分 析 潜 在 的 数 千 行 代 码 可 以 在 很 大 程 度 上 抵 消 一 些 组 织 节 省 的 开 源 成 本 。 ”   “ 当 软 件 开 发 公 司 允 许 其 员 工 从 公 共 存 储 库 下 载 并 开 始 使 用 任 意 编 码 模 块 工 作 时 ， 他 们 将 面 临 安 全 性 和 法 律 风 险 。 在 这 种 情 况 下 ， 它 是 一 名 研 究 人 员 ， 拥 有 无 害 的 “ 电 话 回 家 ” 有 效 载 荷 ， 但 它 可 能 与 部 署 恶 意 软 件 植 入 物 的 A P T 或 部 署 商 业 许 可 算 法 的 专 利 巨 魔 一 样 容 易 。 本 文 翻 译 自 ： h t t p s : / / s i l i c o n a n g l e . c o m / 2 0 2 1 / 0 2 / 1 0 / s e c u r i t y - r e s e a r c h e r - b r e a c h e s - a p p l e - m i c r o s o f t - o t h e r s - e x p l o i t i n g - o p e n - s o u r c e - r e p o s i t o r i e s / 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理