NPM-এ একটি আক্রমণ যা আপনাকে ব্যক্তিগত সংগ্রহস্থলে প্যাকেজের উপস্থিতি নির্ধারণ করতে দেয়

NPM-এ একটি ত্রুটি চিহ্নিত করা হয়েছে যা আপনাকে বন্ধ সংগ্রহস্থলে প্যাকেজের অস্তিত্ব সনাক্ত করতে দেয়। রিপোজিটরিতে অ্যাক্সেস নেই এমন একটি তৃতীয় পক্ষের কাছ থেকে বিদ্যমান এবং অ-বিদ্যমান প্যাকেজের অনুরোধ করার সময় বিভিন্ন প্রতিক্রিয়ার কারণে সমস্যাটি ঘটে। ব্যক্তিগত সংগ্রহস্থলে কোনো প্যাকেজের অ্যাক্সেস না থাকলে, registry.npmjs.org সার্ভার কোড "404" সহ একটি ত্রুটি প্রদান করে, কিন্তু অনুরোধকৃত নামের একটি প্যাকেজ বিদ্যমান থাকলে, ত্রুটিটি একটি লক্ষণীয় বিলম্বের সাথে জারি করা হয়। একজন আক্রমণকারী অভিধান ব্যবহার করে প্যাকেজের নাম অনুসন্ধান করে প্যাকেজের উপস্থিতি নির্ধারণ করতে এই বৈশিষ্ট্যটি ব্যবহার করতে পারে।

ব্যক্তিগত সংগ্রহস্থলে প্যাকেজ নাম নির্ধারণের জন্য একটি নির্ভরতা মিক্সিং আক্রমণ সঞ্চালনের প্রয়োজন হতে পারে যা পাবলিক এবং অভ্যন্তরীণ রিপোজিটরিগুলিতে নির্ভরতার নামের ছেদকে নিয়ন্ত্রণ করে। কর্পোরেট সংগ্রহস্থলে কোন অভ্যন্তরীণ NPM প্যাকেজগুলি উপস্থিত রয়েছে তা জেনে, একজন আক্রমণকারী পাবলিক NPM সংগ্রহস্থলে একই নাম এবং নতুন সংস্করণ নম্বর সহ প্যাকেজ স্থাপন করতে পারে। সমাবেশের সময় যদি অভ্যন্তরীণ লাইব্রেরিগুলি স্পষ্টভাবে সেটিংসে তাদের সংগ্রহস্থলের সাথে সংযুক্ত না হয়, npm প্যাকেজ ম্যানেজার সর্বজনীন সংগ্রহস্থলকে একটি উচ্চ অগ্রাধিকার হিসাবে বিবেচনা করবে এবং আক্রমণকারী দ্বারা প্রস্তুত করা প্যাকেজটি ডাউনলোড করবে।

GitHub মার্চ মাসে সমস্যা সম্পর্কে অবহিত হয়েছিল কিন্তু স্থাপত্যের সীমাবদ্ধতা উল্লেখ করে আক্রমণের বিরুদ্ধে সুরক্ষা যোগ করতে অস্বীকার করে। প্রাইভেট রিপোজিটরি ব্যবহারকারী কোম্পানিগুলিকে পর্যায়ক্রমে পাবলিক রিপোজিটরিতে ওভারল্যাপিং নামের উপস্থিতি পরীক্ষা করার পরামর্শ দেওয়া হয় বা ব্যক্তিগত রিপোজিটরিতে প্যাকেজের নামের পুনরাবৃত্তি করে এমন নাম দিয়ে স্টাব তৈরি করার পরামর্শ দেওয়া হয়, যাতে আক্রমণকারীরা ওভারল্যাপিং নামের সাথে তাদের প্যাকেজ স্থাপন করতে না পারে।

উত্স: opennet.ru