![\"R\u00e9f\u00e9rentiel](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEilrBv-ze3jTV5Uv7VJPL2XB1GyOzqjm31OTFYTrx7ud3YaGWq98Nr5kZFhtB1EbxmTi0-1vqFYvnLc_kwgQX1ufXzY9_LNNCwvr-r_y9uFKuc-W54h8i4ZdXbYbfh0YYC0OAxSBjTmNfSLvRmBSTiVJCN2F2sztiwFq_gCg9QCEGNwPq7MhGJq_DPh\/s728-e1000\/pera-php.jpg\" "\\"R\u00e9f\u00e9rentiel")
<\/div>\nUne vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 vieille de 15 ans a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans le r\u00e9f\u00e9rentiel PEAR PHP qui pourrait permettre \u00e0 un attaquant de mener une attaque sur la cha\u00eene d’approvisionnement, notamment en obtenant un acc\u00e8s non autoris\u00e9 pour publier des packages malveillants et ex\u00e9cuter du code arbitraire.<\/p>\n
“Un attaquant exploitant le premier pourrait prendre le contr\u00f4le de n’importe quel compte de d\u00e9veloppeur et publier des versions malveillantes, tandis que le second bogue permettrait \u00e0 l’attaquant d’obtenir un acc\u00e8s persistant au serveur central PEAR”, a d\u00e9clar\u00e9 Thomas Chauchefoin, chercheur en vuln\u00e9rabilit\u00e9s \u00e0 SonarSource. mentionn\u00e9<\/a> dans un article publi\u00e9 cette semaine.<\/p>\n PEAR, abr\u00e9viation de PHP Extension and Application Repository, est un framework et un syst\u00e8me de distribution pour les composants PHP r\u00e9utilisables.<\/p>\n L’une des questions, introduite dans un validation de code<\/a> faite en mars 2007 lorsque la fonctionnalit\u00e9 a \u00e9t\u00e9 mise en \u0153uvre \u00e0 l’origine, concerne l’utilisation du cryptographiquement non s\u00e9curis\u00e9 mt_rand()<\/a> Fonction PHP dans la fonctionnalit\u00e9 de r\u00e9initialisation du mot de passe qui pourrait permettre \u00e0 un attaquant de “d\u00e9couvrir un jeton de r\u00e9initialisation de mot de passe valide en moins de 50\u00a0essais”.<\/p>\n Arm\u00e9 de cet exploit, un acteur malveillant pourrait cibler des comptes de d\u00e9veloppeur ou d’administrateur existants pour les d\u00e9tourner et publier de nouvelles versions trojanis\u00e9es de packages d\u00e9j\u00e0 g\u00e9r\u00e9s par les d\u00e9veloppeurs, ce qui entra\u00eenerait une compromission g\u00e9n\u00e9ralis\u00e9e de la cha\u00eene d’approvisionnement.<\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/02\/Des-experts-chinois-decouvrent-les-details-de-loutil-de-piratage.png\")
<\/a><\/center><\/div>\n