Уязвимост, позволяваща публикуване на актуализация за всеки пакет в репозитория NPM

Компания GitHub разкри информация за два инцидента в инфраструктурата за хранилището на пакети NPM. На 2 ноември, външни изследователи по сигурността (Kajetan Grzybowski и Maciej Piechota) в рамките на програмата Bug Bounty съобщиха за наличие на уязвимост в хранилището NPM, която позволява публикуването на нова версия на всеки пакет, използвайки за това своя акаунт, не упълномощен за изпълнение на подобни актуализации.

Уязвимостта беше предизвикана от неправилна проверка на правата в кода на микросервисите, обработващи заявките към NPM. Службата за удостоверяване извършваше проверка на правата за достъп до пакетите на базата на данните, предавани в заявката, но друга служба, която качва обновления в репозитория, определяше пакета за публикуване на базата на съдържанието на метаданните в качения пакет. Така атакуващият можеше да поиска публикация на обновление за своя пакет, до който има достъп, но да посочи в самия пакет информация за друг пакет, който всъщност ще бъде обновен.

Проблемът беше отстранен 6 часа след появата на информацията за уязвимостта, но уязвимостта е присъствала в NPM по-дълго, отколкото обхващат логовете с телеметрия. GitHub твърди, че няма регистрирани атаки, извършвани чрез тази уязвимост от септември 2020 година, но няма гаранции, че проблемът не е бил експлоатиран по-рано.

Вторият инцидент се случи на 26 октомври. По време на технически работи с базата данни на услугата replicate.npmjs.com беше открито наличието на конфиденциални данни в базата данни, достъпна за външни запитвания, разкриващи информация за имената на вътрешните пакети, които бяха споменати в логовете за промени. Информацията за подобни имена може да бъде използвана за извършване на атаки на зависимостите във вътрешните проекти (през февруари подобна атака позволи изпълнението на код на сървъри PayPal, Microsoft, Apple, Netflix, Uber и още 30 компании).

В допълнение, поради увеличаващия се брой случаи на прихващане на хранилища на крупни проекти и разпространение на зловреден код чрез компрометиране на акаунти на разработчици, компанията GitHub реши да въведе задължителна двуфакторна автентикация. Промяната ще влезе в сила през първото тримесечие на 2022 година и ще се отнася за поддържащите и администраторите на пакети, включени в списъка на най-популярните. Допълнително се съобщава за модернизация на инфраструктурата, в която ще бъде внедрено автоматизирано наблюдение и анализ на новите версии на пакети за ранно откриване на злонамерени промени.

Напомняме, че в съответствие с проведеното през 2020 година изследване, само 9.27% от поддържащите пакети използват двуфакторна автентикация за защита на достъпа, а в 13.37% от случаите при регистрация на нови акаунти разработчиците са опитвали да повторно използват компрометирани пароли, фигуриращи в известни течове на пароли. При проверка на надеждността на използваните пароли успяхме да получим достъп до 12% от акаунтите в NPM (13% от пакетите) заради използването на предсказуеми и тривиални пароли, като „123456“. Между проблемите се оказаха 4 акаунта на потребители от Top20 на най-популярните пакети, 13 акаунта, пакети, които са изтегляни повече от 50 милиона пъти месечно, 40 — с повече от 10 милиона изтегляния на месец и 282 с повече от 1 милион изтегляния на месец. С оглед на зареждането на модули по веригата от зависимости, компрометирането на ненадеждни акаунти можеше да засегне до 52% от всички модули в NPM.

Източник: opennet.ru