Confused

Uno strumento per verificare la presenza di namespace liberi per nomi di pacchetti privati menzionati nella configurazione delle dipendenze per Python (pypi) requirements.txt, JavaScript (npm) package.json, PHP (composer) composer.json o MVN (maven) pom.xml.

Di cosa si tratta?

Il 9 febbraio 2021, il ricercatore di sicurezza Alex Birsan ha pubblicato un articolo che ha toccato diversi difetti nell'ordine di risoluzione presenti negli strumenti di gestione delle dipendenze di molteplici ecosistemi di linguaggi di programmazione.

Microsoft ha pubblicato un whitepaper descrivendo i modi per mitigare l'impatto, mentre la causa principale rimane ancora.

Interpretazione dell'output dello strumento

confused legge semplicemente un file di definizione delle dipendenze di un'applicazione e controlla i repository pubblici di pacchetti per ogni voce di dipendenza in quel file. Procede quindi a segnalare tutti i nomi di pacchetto che non sono trovati nei repository pubblici — uno stato che implica che un pacchetto potrebbe essere vulnerabile a questo tipo di attacco, mentre questo vettore non è ancora stato sfruttato.

Questo tuttavia non significa che un'applicazione non sia già attivamente sfruttata. Se sai che il tuo software utilizza repository di pacchetti privati, dovresti assicurarti che gli spazi dei nomi per i tuoi pacchetti privati siano stati rivendicati da una parte fidata (tipicamente te stesso o la tua azienda).

Falsi positivi noti

Alcuni ecosistemi di packaging come npm hanno un concetto chiamato "scopes" che possono essere privati o pubblici. In breve significa uno spazio dei nomi che ha un livello superiore — lo scope. Gli scope non sono intrinsecamente visibili pubblicamente, il che significa che confused non può rilevare in modo affidabile se è stato rivendicato. Se la tua applicazione utilizza nomi di pacchetto con scope, dovresti assicurarti che una parte fidata abbia rivendicato il nome dello scope nei repository pubblici.

Installazione

• Scarica un binario precompilato dalla pagina delle release, decomprimi ed esegui!

  oppure

• Se hai un compilatore go recente installato: go get -u github.com/visma-prodsec/confused (lo stesso comando funziona per l'aggiornamento)

  oppure

• git clone https://github.com/visma-prodsec/confused ; cd confused ; go get ; go build

Utilizzo

Usage:
 confused [-l LANGUAGENAME] depfilename.ext

Usage of confused:
  -l string
        Sistema di repository dei pacchetti. Valori possibili: "pip", "npm", "composer", "mvn", "rubygems" (default "npm")
  -s string
        Elenco separato da virgole di namespace considerati sicuri. Supporta caratteri jolly
  -v    Output dettagliato

Esempio

Python (PyPI)

./confused -l pip requirements.txt

Problemi trovati, i seguenti pacchetti non sono disponibili nei repository pubblici di pacchetti:
 [!] internal_package1

JavaScript (npm)

./confused -l npm package.json

Problemi trovati, i seguenti pacchetti non sono disponibili nei repository pubblici di pacchetti:
 [!] internal_package1
 [!] @mycompany/internal_package1
 [!] @mycompany/internal_package2

# Esempio quando lo scope privato @mycompany è stato registrato in npm, usando -s
./confused -l npm -s '@mycompany/*' package.json

Problemi trovati, i seguenti pacchetti non sono disponibili nei repository pubblici di pacchetti:
 [!] internal_package1

Maven (mvn)

./confused -l mvn pom.xml

Problemi trovati, i seguenti pacchetti non sono disponibili nei repository pubblici di pacchetti:
 [!] internal
 [!] internal/package1
 [!] internal/_package2

Ruby (rubygems)

./confused -l rubygems Gemfile.lock

Problemi trovati, i seguenti pacchetti non sono disponibili nei repository pubblici di pacchetti:
 [!] internal
 [!] internal/package1
 [!] internal/_package2