Dependency Confusion
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Συνοπτικά, μια ευπάθεια εξάρτησης συμβαίνει όταν ένα έργο χρησιμοποιεί μια βιβλιοθήκη με λάθος όνομα, ανύπαρκτη ή με μη καθορισμένη έκδοση και το χρησιμοποιούμενο αποθετήριο εξαρτήσεων επιτρέπει να συγκεντρωθούν ενημερωμένες εκδόσεις από δημόσιες αποθήκες.
Λάθος: Εισαγωγή reqests αντί για requests
Ανύπαρκτη: Εισαγωγή company-logging, μιας εσωτερικής βιβλιοθήκης που δεν υπάρχει πια
Μη καθορισμένη έκδοση: Εισαγωγή μιας εσωτερικής υπάρχουσας βιβλιοθήκης company-requests, αλλά ο έλεγχος του αποθετηρίου ελέγχει δημόσιες αποθήκες για να δει αν υπάρχουν μεγαλύτερες εκδόσεις.
Σε όλες τις περιπτώσεις, ο επιτιθέμενος χρειάζεται απλώς να δημοσιεύσει ένα κακόβουλο πακέτο με το όνομα των βιβλιοθηκών που χρησιμοποιεί η εταιρεία-θύμα.
Αν η εταιρεία σας προσπαθεί να εισαγάγει μια βιβλιοθήκη που δεν είναι εσωτερική, είναι πολύ πιθανό το αποθετήριο βιβλιοθηκών να την αναζητά σε δημόσιες αποθήκες. Αν ένας επιτιθέμενος την έχει δημιουργήσει, ο κώδικας και οι μηχανές που τρέχουν είναι πολύ πιθανό να έχουν παραβιαστεί.
Είναι πολύ συνηθισμένο για τους προγραμματιστές να μην καθορίζουν καμία έκδοση της βιβλιοθήκης που χρησιμοποιείται, ή να καθορίζουν μόνο μια μεγαλύτερη έκδοση. Στη συνέχεια, ο διερμηνέας θα προσπαθήσει να κατεβάσει την τελευταία έκδοση που πληροί αυτές τις απαιτήσεις.
Αν η βιβλιοθήκη είναι μια γνωστή εξωτερική βιβλιοθήκη (όπως η python requests), ένας επιτιθέμενος δεν μπορεί να κάνει πολλά, καθώς δεν θα μπορεί να δημιουργήσει μια βιβλιοθήκη που ονομάζεται requests (εκτός αν είναι ο αρχικός συγγραφέας).
Ωστόσο, αν η βιβλιοθήκη είναι εσωτερική, όπως το requests-company σε αυτό το παράδειγμα, αν το αποθετήριο βιβλιοθήκης επιτρέπει να ελέγχει για νέες εκδόσεις και εξωτερικά, θα αναζητήσει μια νεότερη έκδοση που είναι διαθέσιμη δημόσια.
Έτσι, αν ένας επιτιθέμενος γνωρίζει ότι η εταιρεία χρησιμοποιεί τη βιβλιοθήκη requests-company έκδοση 1.0.1 (επιτρέποντας μικρές ενημερώσεις). Μπορεί να δημοσιεύσει τη βιβλιοθήκη requests-company έκδοση 1.0.2 και η εταιρεία θα χρησιμοποιήσει αυτή τη βιβλιοθήκη αντί της εσωτερικής.
Αυτή η ευπάθεια βρέθηκε στο AWS CodeArtifact (διαβάστε τα λεπτομέρειες σε αυτή την ανάρτηση blog). Η AWS το διόρθωσε επιτρέποντας να καθοριστεί αν μια βιβλιοθήκη είναι εσωτερική ή εξωτερική, για να αποφευχθεί η λήψη εσωτερικών εξαρτήσεων από εξωτερικά αποθετήρια.
Στην αρχική ανάρτηση σχετικά με την εξάρτηση σύγχυσης ο συγγραφέας αναζήτησε χιλιάδες εκτεθειμένα αρχεία package.json που περιέχουν τις εξαρτήσεις έργων javascript.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
