Компания GitHub опубликовала резултатите от анализа на атака, при която на 12 април злонамерени лица получили достъп до облачните среди в услугата Amazon AWS, използвани в инфраструктурата на проекта NPM. Анализът на инцидента показа, че атакуващите са получили достъп до резервните копия на хоста skimdb.npmjs.com, вкл. до резервна копия на БД с данните на близо 100 хиляди потребители на NPM от 2015 г., включваща хеширани пароли, имена и имейли.
Хешовете на паролите са били генерирани с использование на алгоритмите PBKDF2 или SHA1 с примеси, които през 2017 г. били заменени с по-устойчивия на подбиране bcrypt. След открития инцидент, засегнатите пароли бяха нулирани, а на потребителите беше изпратено уведомление за необходимостта от смяна на паролата. Поради факта, че от 1 март в NPM е въведена задължителна двуфакторна верификация с потвърждение по имейл, рискът от компрометиране на потребителите се оценява като незначителен.
Освен това, в ръцете на атакуващите попаднаха всички manifest-файлове и метаданни на частни пакети от април 2021 г., CSV-файлове с актуален списък на всички имена и версии на частни пакети, както и съдържанието на всички частни пакети на двама клиенти на GitHub (имената не се разкриват). Що се отнася до самия репозиторий, анализът на следите и верификацията на хешовете на пакетите не установи извършени от атакуващите промени в NPM-пакетите и публикуване на фалшиви нови версии на пакети.
Атаката беше извършена на 12 април с използване на откраднати OAuth токени, генерирани за двама странични интегратори на GitHub - Heroku и Travis-CI. Използвайки токените, атакуващите успяха да извлекат от частни репозитории на GitHub ключ за достъп до API на Amazon Web Services, използван в инфраструктурата на проекта NPM. Полученият ключ позволи достъп до данните, съхранявани в услугата AWS S3.
Допълнително разкрити са сведения за преди установени сериозни проблеми с конфиденциалността при обработка на данни на потребителите на сървъри NPM — в вътрешните логове оставали на видно място пароли на някои потребители на NPM, както и токени за достъп до NPM. При интеграцията на NPM с системата за логове на GitHub разработчиците не са осигурили изтриването на поверителна информация от поставените в логовете заявки към услугите на NPM. Утвърдило се, че проблемът е бил оправен, а логовете са били почистени още преди атаката срещу NPM. Достъп до логовете, които включват открити пароли, имали само отделни служители на GitHub.
Източник: opennet.ru
