একটি দুর্বলতা যা NPM সংগ্রহস্থলের যেকোনো প্যাকেজের জন্য একটি আপডেট প্রকাশ করার অনুমতি দেয়

GitHub তার NPM প্যাকেজ সংগ্রহস্থল পরিকাঠামোতে দুটি ঘটনা প্রকাশ করেছে। 2শে নভেম্বর, বাগ বাউন্টি প্রোগ্রামের অংশ হিসাবে তৃতীয় পক্ষের নিরাপত্তা গবেষকরা (কাজেটান গ্রজিবোস্কি এবং ম্যাকিয়েজ পাইচোটা), NPM সংগ্রহস্থলে একটি দুর্বলতার উপস্থিতি রিপোর্ট করেছেন যা আপনাকে আপনার অ্যাকাউন্ট ব্যবহার করে যেকোনো প্যাকেজের একটি নতুন সংস্করণ প্রকাশ করতে দেয়, যা এই ধরনের আপডেট করার জন্য অনুমোদিত নয়।

মাইক্রোসার্ভিসেসের কোডে ভুল অনুমতি চেক করার কারণে এই দুর্বলতা ঘটেছে যা NPM-এর কাছে অনুরোধগুলি প্রক্রিয়া করে। অনুমোদন পরিষেবা অনুরোধে পাস করা ডেটার উপর ভিত্তি করে প্যাকেজ অনুমতি পরীক্ষা করেছে, কিন্তু অন্য একটি পরিষেবা যা সংগ্রহস্থলে আপডেট আপলোড করেছে, আপলোড করা প্যাকেজের মেটাডেটা বিষয়বস্তুর উপর ভিত্তি করে প্রকাশ করার জন্য প্যাকেজ নির্ধারণ করেছে। এইভাবে, একজন আক্রমণকারী তার প্যাকেজের জন্য একটি আপডেট প্রকাশের অনুরোধ করতে পারে, যেখানে তার অ্যাক্সেস আছে, তবে প্যাকেজে নিজেই অন্য প্যাকেজ সম্পর্কে তথ্য উল্লেখ করুন, যা অবশেষে আপডেট করা হবে।

দুর্বলতা রিপোর্ট করার 6 ঘন্টা পরে সমস্যাটি স্থির করা হয়েছিল, কিন্তু দুর্বলতাটি টেলিমেট্রি লগ কভারের চেয়ে বেশি সময় NPM-এ উপস্থিত ছিল। GitHub দাবি করেছে যে 2020 সালের সেপ্টেম্বর থেকে এই দুর্বলতা ব্যবহার করে আক্রমণের কোনও চিহ্ন পাওয়া যায়নি, তবে কোনও গ্যারান্টি নেই যে সমস্যাটি আগে কাজে লাগানো হয়নি।

দ্বিতীয় ঘটনাটি ঘটে ২৬ অক্টোবর। replicate.npmjs.com পরিষেবার ডাটাবেসের সাথে প্রযুক্তিগত কাজের সময়, বহিরাগত অনুরোধগুলিতে অ্যাক্সেসযোগ্য ডেটাবেসে গোপনীয় ডেটার উপস্থিতি প্রকাশিত হয়েছিল, যা পরিবর্তন লগে উল্লেখ করা অভ্যন্তরীণ প্যাকেজগুলির নাম সম্পর্কে তথ্য প্রকাশ করে। অভ্যন্তরীণ প্রকল্পগুলির উপর নির্ভরতা আক্রমণ চালানোর জন্য এই ধরনের নামগুলির তথ্য ব্যবহার করা যেতে পারে (ফেব্রুয়ারি মাসে, একটি অনুরূপ আক্রমণের কোড পেপ্যাল, মাইক্রোসফ্ট, অ্যাপল, নেটফ্লিক্স, উবার এবং অন্যান্য 26টি কোম্পানির সার্ভারে কার্যকর করার অনুমতি দেওয়া হয়েছিল)।

উপরন্তু, বড় প্রকল্পের রিপোজিটরি হাইজ্যাক হওয়ার এবং দূষিত কোড আপসকারী ডেভেলপার অ্যাকাউন্টগুলির মাধ্যমে প্রচারিত হওয়ার ঘটনাগুলির সংখ্যা বৃদ্ধির কারণে, গিটহাব বাধ্যতামূলক দ্বি-ফ্যাক্টর প্রমাণীকরণ চালু করার সিদ্ধান্ত নিয়েছে। পরিবর্তনটি 2022 সালের প্রথম ত্রৈমাসিকে কার্যকর হবে এবং সর্বাধিক জনপ্রিয় তালিকায় অন্তর্ভুক্ত প্যাকেজগুলির রক্ষণাবেক্ষণকারী এবং প্রশাসকদের জন্য প্রযোজ্য হবে৷ অতিরিক্তভাবে, এটি অবকাঠামোর আধুনিকীকরণ সম্পর্কে রিপোর্ট করা হয়েছে, যেখানে দূষিত পরিবর্তনগুলির প্রাথমিক সনাক্তকরণের জন্য প্যাকেজের নতুন সংস্করণগুলির স্বয়ংক্রিয় পর্যবেক্ষণ এবং বিশ্লেষণ চালু করা হবে।

আসুন মনে রাখবেন যে, 2020 সালে পরিচালিত একটি সমীক্ষা অনুসারে, শুধুমাত্র 9.27% ​​প্যাকেজ রক্ষণাবেক্ষণকারী অ্যাক্সেস রক্ষা করার জন্য দ্বি-ফ্যাক্টর প্রমাণীকরণ ব্যবহার করে এবং 13.37% ক্ষেত্রে, নতুন অ্যাকাউন্ট নিবন্ধন করার সময়, বিকাশকারীরা আপস করা পাসওয়ার্ডগুলি পুনরায় ব্যবহার করার চেষ্টা করেছিল যা প্রদর্শিত হয়েছিল পরিচিত পাসওয়ার্ড ফাঁস। একটি পাসওয়ার্ড নিরাপত্তা পর্যালোচনার সময়, "12" এর মতো অনুমানযোগ্য এবং তুচ্ছ পাসওয়ার্ড ব্যবহারের কারণে 13% NPM অ্যাকাউন্ট (123456% প্যাকেজ) অ্যাক্সেস করা হয়েছিল। সমস্যাযুক্তগুলির মধ্যে ছিল শীর্ষ 4টি সর্বাধিক জনপ্রিয় প্যাকেজের 20টি ব্যবহারকারীর অ্যাকাউন্ট, প্রতি মাসে 13 মিলিয়নের বেশি বার ডাউনলোড করা প্যাকেজ সহ 50টি অ্যাকাউন্ট, প্রতি মাসে 40 মিলিয়নের বেশি ডাউনলোড সহ 10টি এবং প্রতি মাসে 282 মিলিয়নের বেশি ডাউনলোড সহ 1টি অ্যাকাউন্ট। নির্ভরতার শৃঙ্খলে মডিউল লোড করার বিষয়টি বিবেচনায় নিয়ে, অবিশ্বস্ত অ্যাকাউন্টগুলির আপস NPM-এর সমস্ত মডিউলের 52% পর্যন্ত প্রভাবিত করতে পারে।

উত্স: opennet.ru