Se ha descubierto que varias bibliotecas p\u00fablicas y populares abandonadas pero que a\u00fan se utilizan en aplicaciones Java y Android son susceptibles a un nuevo m\u00e9todo de ataque a la cadena de suministro de software llamado MavenGate.<\/p>\n
“El acceso a los proyectos puede ser secuestrado mediante la compra de nombres de dominio y, dado que la mayor\u00eda de las configuraciones de compilaci\u00f3n predeterminadas son vulnerables, ser\u00eda dif\u00edcil o incluso imposible saber si se est\u00e1 realizando un ataque”, Oversecured dicho<\/a> en un an\u00e1lisis publicado la semana pasada.<\/p>\n La explotaci\u00f3n exitosa de estas deficiencias podr\u00eda permitir a actores nefastos secuestrar artefactos en dependencias e inyectar c\u00f3digo malicioso en la aplicaci\u00f3n y, peor a\u00fan, incluso comprometer el proceso de compilaci\u00f3n a trav\u00e9s de un complemento malicioso.<\/p>\n La firma de seguridad m\u00f3vil agreg\u00f3 que todas las tecnolog\u00edas basadas en Maven, incluido Gradle, son vulnerables al ataque y que envi\u00f3 informes a m\u00e1s de 200 empresas, incluidas Google, Facebook, Signal, Amazon y otras.<\/p>\n Apache Maven es utilizado principalmente<\/a> para crear y administrar proyectos basados \u200b\u200ben Java, lo que permite a los usuarios descargar y administrar dependencias (que se identifican de forma \u00fanica por sus ID de grupo), crear documentaci\u00f3n y administrar versiones.<\/p>\n Si bien los repositorios que albergan dichas dependencias pueden ser privado<\/a> o p\u00fablico<\/a>un atacante podr\u00eda apuntar a este \u00faltimo para realizar ataques de envenenamiento de la cadena de suministro aprovechando bibliotecas abandonadas agregadas a repositorios conocidos.<\/p>\n En concreto, se trata de la compra de los caducados. dominio invertido<\/a> controlado por el propietario de la dependencia y obteniendo acceso al groupId.<\/p>\n “Un atacante puede obtener acceso a un ID de grupo vulnerable haciendo valer sus derechos sobre \u00e9l a trav\u00e9s de un registro TXT DNS en un repositorio donde no existe ninguna cuenta que administre el ID de grupo vulnerable”, dijo la compa\u00f1\u00eda.<\/p>\n “Si un ID de grupo ya est\u00e1 registrado en el repositorio, un atacante puede intentar obtener acceso a ese ID de grupo comunic\u00e1ndose con el equipo de soporte del repositorio”.<\/p>\n Para probar el escenario de ataque, Oversecured carg\u00f3 su propia biblioteca de prueba de Android (groupId: “com.oversecured”), que muestra el mensaje “\u00a1Hola mundo!” en Maven Central (versi\u00f3n 1.0), y al mismo tiempo carg\u00f3 dos versiones en JitPack. , donde la versi\u00f3n 1.0 es una r\u00e9plica de la misma biblioteca publicada en Maven Central.<\/p>\n Pero la versi\u00f3n 1.1 es una copia editada “no confiable” que tambi\u00e9n tiene el mismo ID de grupo, pero que apunta a un repositorio de GitHub bajo su control y se reclama agregando un registro DNS TXT para hacer referencia al nombre de usuario de GitHub para poder establecer prueba de propiedad<\/a>.<\/p>\n Luego, el ataque funciona agregando Maven Central y JitPack a la lista del repositorio de dependencia en el script de compilaci\u00f3n de Gradle. Vale la pena se\u00f1alar en esta etapa que el orden de declaraci\u00f3n<\/a> Determina c\u00f3mo Gradle comprobar\u00e1 las dependencias en tiempo de ejecuci\u00f3n.<\/p>\n “Cuando movimos el repositorio de JitPack por encima de mavenCentral, se descarg\u00f3 la versi\u00f3n 1.0 de JitPack”, dijeron los investigadores. “Cambiar la versi\u00f3n de la biblioteca a 1.1 result\u00f3 en el uso de la versi\u00f3n JitPack independientemente de la posici\u00f3n de JitPack en la lista de repositorios”.<\/p>\n Como resultado, un adversario que busque corromper la cadena de suministro de software puede atacar las versiones existentes de una biblioteca publicando una versi\u00f3n superior o contra nuevas versiones promocionando una versi\u00f3n inferior a la de su contraparte leg\u00edtima.<\/p>\n Esta es otra forma de ataque de confusi\u00f3n de dependencias en la que un atacante publica un paquete no autorizado en un repositorio de paquetes p\u00fablico con el mismo nombre que un paquete dentro del repositorio privado previsto.<\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/01\/El-ataque-MavenGate-podria-permitir-a-los-piratas-informaticos-secuestrar.jpg\")
<\/a><\/center><\/div>\n