PowerShell曝出安全漏洞，可对注册表用户发起供应链攻击

最新的网络安全观察中，PowerShell Gallery 中的漏洞可能会被威胁行为者利用，对注册表用户发起供应链攻击。这些漏洞使得该注册表中的误植攻击不可避免，同时也使用户很难识别软件包的真正所有者。

根据中国网络安全行业门户极牛网(GeekNB.com)的梳理，PowerShell Gallery由微软公司维护，是一个用于共享和获取 PowerShell 代码的中央存储库，其中包括 PowerShell 模块、脚本和所需状态配置 (DSC) 资源。该注册表拥有 11829 个独特的软件包，总共 244615 个软件包。

安全研究人员发现与该服务围绕包名称的宽松政策有关，缺乏针对拼写错误攻击的保护，从而使攻击者能够上传对毫无戒心的用户来说看似真实的恶意 PowerShell 模块。

域名仿冒是一种经过时间考验的感染媒介，被攻击者采用，通过发布名称与已通过存储库分发的流行且合法模块在语音上相似的软件包来毒害开源软件生态系统。

第二个漏洞与不良行为者欺骗模块的元数据（包括作者、版权和描述字段）的能力有关，使其看起来更合法，从而欺骗不知情的用户安装它们。

安全研究人员表示，用户确定真正的作者/所有者的唯一方法是打开‘包详细信息’选项卡。

然而，这只会引导他们找到假作者的个人资料，因为攻击者在 PowerShell 库中创建用户时可以自由选择任何名称。因此，确定 PowerShell 库中 PowerShell 模块的实际作者具有挑战性。

还发现了第三个漏洞，攻击者可能会滥用该漏洞来枚举所有软件包名称和版本，包括那些未列出且旨在隐藏在公众视野之外的软件包名称和版本。

这可以通过利用 PowerShell API “https://www.powershellgallery.com/api/v2/Packages?$skip=number” 来实现，使攻击者能够不受限制地访问完整的 PowerShell 包数据库，包括相关版本。

这种不受控制的访问使恶意行为者能够在未列出的软件包中搜索潜在的敏感信息。因此，任何包含机密数据的未列出的软件包都非常容易受到损害。