Уязвимост, която позволяваше да се публикува обновление за който и да е пакет в репозитория NPM

Компания GitHub разкри информация за два инцидента в инфраструктурата на репозитория за пакети NPM. На 2 ноември външни специалисти по сигурността (Kajetan Grzybowski и Maciej Piechota) в рамките на програмата Bug Bounty сигнализирали за наличие на уязвимост в репозитория NPM, позволяваща публикуването на нова версия на всеки пакет, използвайки своя акаунт, който не е авторизиран за извършване на такива актуализации.

Уязвимостта е причинена от неправилна проверка на правомощията в кода на микросервисите, обработващи заявките към NPM. Сервисът за авторизация извършвал проверка на правата за достъп до пакетите въз основа на данните, предавани в заявката, но друг сервис, който качва актуализация в репозитория, определял пакета за публикуване въз основа на съдържанието на метаданните в качения пакет. По този начин, атакуващият е можел да поиска публикуването на актуализация за своя пакет, до който има достъп, но да посочи в самия пакет информация за друг пакет, който в крайна сметка е бил актуализиран.

Проблемът е отстранен 6 часа след появата на информацията за уязвимостта, но уязвимостта е била налична в NPM по-дълго, отколкото обхващат логовете с телеметрия. GitHub твърди, че не са регистрирани следи от атаки, използващи тази уязвимост, от септември 2020 година, но няма гаранции, че проблемът не е бил експлоатиран по-рано.

Вторият инцидент се е случил на 26 октомври. По време на технически работи с базата данни на услугата replicate.npmjs.com е било установено наличие в достъпната за външни заявки БД на конфиденциални данни, разкриващи информация за имената на вътрешни пакети, които са споменати в логовете на промените. Информацията за подобни имена може да бъде използвана за извършване на атаки на зависимостите във вътрешните проекти (през февруари подобна атака позволи изпълнението на код на сървъри PayPal, Microsoft, Apple, Netflix, Uber и още 30 компании).

Освен това, във връзка с увеличаващите се случаи на компрометиране на репозитории на големи проекти и разпространяване на злонамерен код чрез компрометиране на акаунти на разработчици, компанията GitHub взе решение да въведе задължителна двуфакторна автентикация. Промяната ще влезе в сила през първото тримесечие на 2022 година и ще се отнася за поддържащите и администраторите на пакети, включени в списъка с най-популярните. Допълнително се съобщава за модернизация на инфраструктурата, в която ще бъде внедрен автоматизиран мониторинг и анализ на новите версии на пакетите за ранно откриване на злонамерени промени.

Напомняме, че в съответствие с проведеното през 2020 година проучване, едва 9.27% от мейнтейнерите на пакети използват двуфакторна автентикация за защита на достъпа, а в 13.37% от случаите при регистрация на нови акаунти разработчиците са се опитвали да повторно използват компрометирани пароли, фигуриращи в известни случаи на изтичане на пароли. При проверка на надеждността на използваните пароли е било установено, че 12% от акаунтите в NPM (13% от пакетите) са компрометирани поради използване на предсказуеми и тривиални пароли, като „123456“. По отношение на проблемите, 4 акаунта на потребители от Top20 на най-популярните пакети, 13 акаунта, пакетите на които са свалени над 50 млн. пъти на месец, 40 - над 10 млн. сваления на месец и 282 с над 1 млн. сваления на месец. С оглед на зареждането на модули по вериги от зависимости, компрометирането на ненадеждни акаунти можеше да засегне общо до 52% от всички модули в NPM.

Източник: opennet.ru