PHP 라이브러리 그룹이 비밀번호를 탈취하도록 설계된 바이러스에 감염되었습니다. 이러한 패키지를 프로젝트에 통합한 사람들은 데이터가 노출되었습니다. 이 공격은 통제 없이 오픈 소스를 사용하면 심각한 결과를 초래할 수 있음을 상기시킵니다. 안전한 버전으로 업데이트하고 각 종속성의 무결성을 확인하는 것이 좋습니다.
종속성 제어가 스택 공격을 방지하는 방법 🛡️
감염은 공식 저장소를 통해 확산되었으며, 공격자는 특정 패키지 버전에 악성 코드를 삽입했습니다. 서버에서 실행되면 맬웨어가 환경 변수나 구성 파일에 저장된 자격 증명을 추출했습니다. 위험을 완화하려면 SCA(소프트웨어 구성 분석) 도구를 사용하고 각 종속성의 해시 레코드를 유지하는 것이 중요합니다. 교훈은 간단합니다. 다운로드하는 것을 맹목적으로 신뢰하지 마십시오.
패키지 관리자가 비밀번호를 훔쳐간 날 😅
가장 큰 보안 위험은 두건을 쓴 해커가 아니라 단순한 composer install이었습니다. 이제 개발자들은 자신의 composer.json 파일을 마치 기밀 문서처럼 바라봅니다. 다음 단계는 서버가 require를 실행하기 전에 숨을 쉬도록 요청하는 것이겠죠. 오픈 소스가 무료라서 다행이지만, 그에 따르는 안심은 따로 비용을 지불해야 합니다.