Slăbiciune în Trusted Publishing expune peste 1.500 de pachete npm la atacuri

Ce pot face atacatorii?

O slăbiciune de securitate în sistemul Trusted Publishing al npm a fost descoperită, permițând atacatorilor să preia nume de depozite GitHub abandonate și să înlocuiască pachete legitime cu cod malițios. Cercetătorii Bloom Security au identificat peste 1.500 de pachete npm care ar putea fi afectate, printre ele scanere de securitate și unelte de dezvoltare populare. Descoperirea ridică întrebări serioase despre integritatea ecosistemului npm și despre siguranța dezvoltatorilor care se bazează pe aceste pachete.

Problema provine din modul în care npm verifică proprietatea unui depozit GitHub asociat unui pachet.

Când un depozit este abandonat, numele său poate fi revendicat de un nou proprietar. Dacă un atacator obține controlul asupra unui astfel de depozit, poate înregistra un nou pachet npm cu același nume, înlocuind efectiv originalul. Această acțiune evită verificările obișnuite ale npm, permițând distribuirea de cod malițios sub un nume de încredere.

Specialiștii Bloom Security au cartografiat lanțul de aprovizionare de la GitHub la npm. Au constatat că un număr semnificativ de depozite au rămas inactive luni sau ani, lăsând numele lor neclaimate. Atacatorii pot crea un cont nou, revendica depozitul și publica un pachet npm cu același nume. Deoarece Trusted Publishing se bazează pe proprietatea contului GitHub, noul pachet trece verificarea, permițând instalarea codului malițios de către dezvoltatori neștiutorii.

Ce ar trebui să facă dezvoltatorii?

Dezvoltatorii trebuie să auditeze dependențele pentru pachetele menționate în raportul Bloom Security.

Se recomandă actualizarea la cele mai recente versiuni sau trecerea la biblioteci alternative. npm a emis un patch care îmbunătățește procesul de verificare, dar este esențial să se confirme că patch-ul se aplică tuturor pachetelor afectate. De asemenea, monitorizarea pentru actualizări neașteptate ale dependențelor critice poate ajuta la detectarea viitoarelor hijack-uri.

Defectul subliniază nevoia unor măsuri de protecție mai puternice în ecosistemele de pachete. Deși Vigilanța continuă și gestionarea proactivă a dependențelor vor fi cheia pentru protejarea lanțurilor de aprovizionare software.

Cât de vulnerabil este ecosistemul npm la preluarea depozitelor abandonate?

Î: Câte pachete sunt afectate? R: Bloom Security a identificat peste 1.500 de pachete npm care ar putea fi hijackuite prin revendicarea depozitelor abandonate.

Î: Vulnerabilitatea este încă activă? R: npm a lansat un patch care îmbunătățește verificarea Trusted Publishing. Dezvoltatorii trebuie să aplice actualizarea și să confirme protecția pachetelor lor.

Î: Ce măsuri pot lua pentru a-mi proteja proiectele?

R: Auditează dependențele, actualizează la versiunile corectate, folosește fișiere de blocare și monitorizează schimbările neașteptate ale bibliotecilor critice.