Атака на NPM, позволяваща определяне на наличието на пакети в частни репозитории

В NPM е открито несъвършенство, позволяващо да се установи наличието на пакети в затворени репозитории. Проблемът е причинен от различното време за реакция при искане на съществуващ и несъществуващ пакет от страна на потребител, който няма достъп до репозитория. При липса на достъп за всякакви пакети в частни репозитории, сървърът registry.npmjs.org връща грешка с код "404", но в случай на съществуването на пакет с поисканото наименование, грешката се генерира с осезаема закъснение. Атакуващият може да използва тази особеност, за да определи наличието на пакет, като подбира имена на пакети от речници.

Установяването на имената на пакети в частни хранилища може да бъде необходимо за извършване на атака чрез смесване на зависимости, манипулираща пресечението на имената на зависимости в публични и вътрешни хранилища. Знаейки кои вътрешни NPM пакети присъстват в корпоративните хранилища, атакуващият може да публикува пакети с идентични имена и по-нови версии в публичното хранилище NPM. Ако при компилация вътрешните библиотеки не са ясно привързани в настройките към собственото си хранилище, пакетният мениджър npm ще счете публичното хранилище за по-приоритетно и ще изтегли пакета, подготвен от атакуващия.

GitHub беше уведомлен за проблема през март, но отказа да добави защита срещу атаки, позовавайки се на архитектурни ограничения. На компаниите, които използват частни хранилища, се препоръчва периодично да проверяват за появата на пресечени имена в публичното хранилище или да създадат от свое име заглушки с имена, повтарящи имената на пакетите в частните хранилища, за да не могат злонамерени лица да публикуват свои пакети с пресечени имена.

Източник: opennet.ru