Badacz bezpieczeństwa był w stanie włamać się do systemów wewnętrznych ponad 35 dużych firm, w tym Apple, Microsoft i PayPal, wykorzystując atak łańcucha dostaw oprogramowania (za pośrednictwem Syczący komputer ).
Badacz bezpieczeństwa Alex Birsan był w stanie wykorzystać unikalną wadę projektową w niektórych ekosystemach open-source, zwaną „zamieszaniem zależności”, w celu zaatakowania systemów firm takich jak Apple, Microsoft, PayPal, Shopify, Netflix, Yelp, Tesla i Uber.
Atak polegał na przesłaniu złośliwego oprogramowania do repozytoriów typu open source, w tym PyPI, npm i RubyGems, które następnie były automatycznie dystrybuowane do wewnętrznych aplikacji różnych firm. Ofiary automatycznie otrzymywały złośliwe pakiety, bez konieczności stosowania socjotechniki ani trojanów.
Birsan był w stanie tworzyć fałszywe projekty o tych samych nazwach w repozytoriach typu open source, z których każdy zawierał komunikat o wyłączeniu odpowiedzialności, i odkrył, że aplikacje automatycznie pobierają publiczne pakiety zależności bez konieczności podejmowania jakichkolwiek działań ze strony programisty. W niektórych przypadkach, na przykład w przypadku pakietów PyPI, priorytet będzie miał każdy pakiet z wyższą wersją, niezależnie od tego, gdzie się znajduje. Umożliwiło to Birsan skuteczne zaatakowanie łańcucha dostaw oprogramowania wielu firm.
Po sprawdzeniu, że jego komponent pomyślnie przeniknął do sieci korporacyjnej, Birsan zgłosił swoje odkrycia danej firmie, a niektórzy nagrodzili go nagrodą za błąd. Microsoft przyznał mu najwyższą nagrodę za błędy w wysokości 40 000 USD i opublikował białą księgę dotyczącą tego problemu z zabezpieczeniami, podczas gdy Apple powiedział Syczący komputer że Birsan otrzyma nagrodę w ramach programu Apple Security Bounty za odpowiedzialne ujawnienie problemu. Birsan zarobił obecnie ponad 130 000 USD dzięki programom bug bounty i wstępnie zatwierdzonym ustaleniom dotyczącym testów penetracyjnych.
Pełne wyjaśnienie metodologii ataku to: dostępne u Alexa Birsana Średni strona .
Tagi: cyberbezpieczeństwo , bug bounty
Popularne Wiadomości