V repozitáři balíčků NPM byla zjištěna bezpečnostní chyba, která umožňuje vlastníkovi balíčku přidat jakéhokoli uživatele do skupiny přispěvatelů, aniž by obdržel souhlas tohoto uživatele a bez informování o provedené akci. Problém se zhoršuje tím, že po přidání externího uživatele do skupiny přispěvatelů mohl původní autor balíčku odstranit sebe z tohoto seznamu a externí uživatel zůstal jedinou osobou, která za balíček odpovídá.
Tuto chybu mohli zneužít tvůrci škodlivých balíčků k přidání známých vývojářů nebo velkých společností do skupiny přispěvatelů, aby vzbudili důvěru uživatelů a vytvořili iluzi, že respektovaní vývojáři odpovídají za balíček, přestože ve skutečnosti nemají s jeho vývojem žádnou souvislost a ani o jeho existenci nevědí. Například útočník mohl umístit škodlivý balíček, změnit přispěvatele a vyzvat uživatele, aby otestovali nový produkt velké společnosti. Zranitelnost mohla být také využita k poškození pověsti určitých vývojářů, kteří byli představováni jako iniciátoři pochybného jednání a škodlivých aktivit.
Společnost GitHub byla o problému informována 10. února a odstranila jej na npmjs.com 26. dubna zavedením povinného potvrzení souhlasu uživatelů s připojením k jinému projektu. Vývojářům velkého počtu balíčků NPM bylo doporučeno zkontrolovat, zda v seznamu jejich balíčků nejsou vazby přidané bez jejich souhlasu.
Zdroj: opennet.ru
