Microsoft PowerShell Gallery に不適切なポリシー問題：サプライ・チェーン攻撃の危険性

Microsoft PowerShell Gallery vulnerable to spoofing, supply chain attacks

2023/08/17 BleepingComputer — Microsoft の PowerShell Gallery コード・リポジトリには、パッケージの命名に関する不適切なポリシーが存在する。それを悪用する脅威アクターは typosquatting 攻撃を実行し、人気のパッケージを詐称し、大規模なサプライチェーン攻撃の基礎を築く可能性を有している。PowerShell Gallery は Microsoft が運営するオンライン・リポジトリであり、PowerShell コミュニティから様々なアップロードされたパッケージとして、各種のスクリプトとコマンドレットのモジュールをホストしている。現時点において、とても人気のあるコード・ホスティング・プラットフォームであり、月間で数千万もダウンロードされるパッケージもあるという。

2022年9月に、このマーケットにおけるポリシー問題を発見した Aqua Nautilus は、Microsoft に対してバグ・レポートと PoC エクスプロイトを送付し、その受信は確認されているが、Microsoft は欠陥を修正するための措置を講じていない。

容易にできる成りすまし

AquaSec の Nautilus チームによる１つ目の発見は、既存のリポジトリと非常に似た名前のパッケージを、PS Gallery に提出できることである。それは、サイバー犯罪者が悪意の目的で利用する “typosquatting” と呼ばれる手法である。

レポートの中で示されている PoC エクスプロイトの例は、人気の AzTable というモジュールに言及している。このモジュールは 1,000万回ダウンロードされており、新しい名前 Az.Table で簡単に偽装される可能性がある。このような名称を、ユーザーが判別するのは困難である。

研究者たちが発見した２つ目の問題は、正規のプロジェクトからコピーすることで、作者や著作権などのモジュールの詳細を詐称できることだ。

これは、最初の問題であるパッケージの typosquatting を、さらに危険なものにするだけでなく、信頼できるパブリッシャの作品を装う、悪意のパッケージに利用される可能性が生じる。

さらに、PS Gallery のデフォルトでは、パッケージを Publisher アカウントを示す ”Owner” フィールドが、”Package Details” の下に入っている。

隠されたパッケージの公開

AquaSec により発見された３つ目の脆弱性は、プラットフォーム上のリストされていないパッケージ／モジュールを公開する機能に関するものであり、ギャラリーの検索エンジンによりインデックス化されることがない。

研究者たちが驚いたのは、リストアップされたパッケージとリストアップされていないパッケージの両方に関する、包括的な詳細を提供する XML ファイルが、プラットフォーム上で発見されたことだ。

AquaSec の Nautilusチームは、「攻撃者は、XML レスポンスの下部にある API リンクを利用することにより、関連バージョンを含む完全な PowerShell パッケージのデータベースに対して、無制限にアクセスできるようになる。それにより攻撃者は、リストされていないパッケージ内の、潜在的にセンシティブな情報を検索できるようになる」と述べている。

詳細の公開と緩和策

AquaSec は 2022年9月27日の時点で、すべての脆弱性を Microsoft に報告している。それを受けて Microsoft は、11月初めに問題を修正したと述べていたが、2022年12月26日に問題を再現することができた。

Microsoft は 2023年1月15日において、エンジニアがファイル名の typosquatting とパッケージ詳細の問題を修正するまで、短期的な解決策を実施したと述べた。その一方で AquaSec は、2023年8月16日の時点でも不具合は残っているため、修正プログラムは実装されていないと述べている。

PS Gallery リポジトリのユーザに推奨されるのは、署名されたスクリプトのみを実行するポリシーの採用／信頼できるプライベート・リポジトリの利用／機密データの有無を検証するためのモジュール・ソースコードの定期的なスキャン／クラウド環境におけるリアルタイム監視システムによる不審な活動の検出などである。

BleepingComputer では、AquaSec の調査結果について Microsoft にコメントを求めている。同社から返答があり次第、この記事を更新する予定だ。

Microsoft には、PowerShell Gallery というコード・リポジトリもあるようです。他のオープンソース・リポジトリと同様に、パッケージのアップロード／ダウンロードが可能であり、また同様に、セキュリティの問題を抱えているとのことです。たとえば npm でも、2023/06/28 の記事「NPM の根幹を揺るがす Manifest Confusion：パッケージ情報が信頼できない理由」にあるように、似たような問題が指摘されていました。あらゆるコード・リポジトリに、問題が山積されているようです。