Les chercheurs ont r\u00e9v\u00e9l\u00e9 des d\u00e9tails sur une faille de s\u00e9curit\u00e9 de haute gravit\u00e9 d\u00e9sormais corrig\u00e9e dans Packagist, un r\u00e9f\u00e9rentiel de packages logiciels PHP, qui aurait pu \u00eatre exploit\u00e9e pour monter des attaques de cha\u00eene d’approvisionnement logicielle.<\/p>\n
“Cette vuln\u00e9rabilit\u00e9 permet de prendre le contr\u00f4le de Emballeur<\/a>“, Thomas Chauchefoin, chercheur \u00e0 SonarSource a dit<\/a> dans un rapport partag\u00e9 avec The Hacker News. Packagist est utilis\u00e9 par le gestionnaire de packages PHP Composer pour d\u00e9terminer et t\u00e9l\u00e9charger les d\u00e9pendances logicielles incluses par les d\u00e9veloppeurs dans leurs projets.<\/p>\n La divulgation intervient alors que l’implantation de logiciels malveillants dans des r\u00e9f\u00e9rentiels open source se transforme en un canal attrayant pour le montage d’attaques de la cha\u00eene d’approvisionnement logicielle.<\/p>\n Suivi comme CVE-2022-24828<\/a> (score CVSS : 8,8), la publier<\/a> a \u00e9t\u00e9 d\u00e9crit comme un cas d’injection de commande et est li\u00e9 \u00e0 un autre bogue Composer similaire (CVE-2021-29472) qui a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9 en avril 2021, sugg\u00e9rant un correctif inad\u00e9quat.<\/p>\n “Un attaquant contr\u00f4lant un r\u00e9f\u00e9rentiel Git ou Mercurial explicitement r\u00e9pertori\u00e9 par URL dans le dossier d’un projet compositeur.json<\/a> peut utiliser des noms de branche sp\u00e9cialement con\u00e7us pour ex\u00e9cuter des commandes sur la machine ex\u00e9cutant la mise \u00e0 jour du compositeur,” Packagist divulgu\u00e9<\/a> dans un avis d’avril 2022.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n