Un investigador de seguretat va poder trencar els sistemes interns de més de 35 empreses importants, incloses Apple, Microsoft i PayPal, mitjançant un atac a la cadena de subministrament de programari (mitjançant Bleeping Ordinador ).
Investigador de seguretat Alex Birsan va poder explotar un defecte de disseny únic en alguns ecosistemes de codi obert anomenat 'confusió de dependències' per atacar els sistemes d'empreses com Apple, Microsoft, PayPal, Shopify, Netflix, Yelp, Tesla i Uber.
L'atac va implicar la càrrega de programari maliciós als dipòsits de codi obert, inclosos PyPI, npm i RubyGems, que després es van distribuir automàticament aigües avall a les aplicacions internes de les diferents empreses. Les víctimes van rebre automàticament els paquets maliciosos, sense necessitat d'enginyeria social ni de troians.
Birsan va poder crear projectes falsificats utilitzant els mateixos noms en dipòsits de codi obert, cadascun amb un missatge d'exempció de responsabilitat, i va trobar que les aplicacions extreurien automàticament paquets de dependència pública, sense necessitat de cap acció del desenvolupador. En alguns casos, com amb els paquets PyPI, es prioritzaria qualsevol paquet amb una versió superior independentment del lloc on es trobés. Això va permetre a Birsan atacar amb èxit la cadena de subministrament de programari de diverses empreses.
En comprovar que el seu component s'havia infiltrat amb èxit a la xarxa corporativa, Birsan va informar les seves troballes a l'empresa en qüestió i alguns el van recompensar amb una recompensa d'error. Microsoft li va atorgar la seva recompensa d'errors més alta de 40.000 dòlars i va publicar un llibre blanc sobre aquest problema de seguretat, mentre que Apple va dir BleepingComputer que Birsan rebrà una recompensa a través del programa Apple Security Bounty per revelar el problema de manera responsable. Birsan ara ha guanyat més de 130.000 dòlars mitjançant programes de recompenses d'errors i arranjaments de proves de penetració aprovats prèviament.
Una explicació completa de la metodologia darrere de l'atac és disponible a Alex Birsan's Mitjana pàgina .
Etiquetes: ciberseguretat, recompensa d'errors
Entrades Populars