GitHub har offentliggjort resultaterne af analysen af et angreb, hvor angrebere den 12. april fik adgang til de cloud-miljøer, der anvendes i Amazon AWS-tjenesten som en del af NPM-projektets infrastruktur. Analysen af hændelsen viste, at angriberne fik adgang til sikkerhedskopier af hosten skimdb.npmjs.com, herunder en sikkerhedskopi af databasen med oplysninger om cirka 100.000 NPM-brugere fra 2015, hvilket inkluderer hash af adgangskoder, navne og e-mail.
Adgangskode-hashes blev oprettet ved hjælp af PBKDF2-algoritmer eller SHA1 med salt, som i 2017 blev erstattet med den mere modstandsdygtige bcrypt. Efter opdagelsen af hændelsen blev de berørte adgangskoder nulstillet, og brugerne blev underrettet om behovet for at oprette en ny adgangskode. Da der fra den 1. marts er indført obligatorisk tofaktorautentificering i NPM med e-mailbekræftelse, vurderes risikoen for brugerne at være minimal.
Derudover kom angriberne i besiddelse af alle manifestfiler og metadata for private pakker pr. april 2021, CSV-filer med den aktuelle liste over alle navne og versioner af private pakker, samt indholdet af alle private pakker fra to GitHub-klienter (navne offentliggøres ikke). Hvad angår selve depotet, afslørede analysen af spor og verifikation af pakkens hashes ikke, at angriberne havde foretaget ændringer i NPM-pakkerne eller offentliggjort falske nye versioner af pakker.
Angrebet blev udført den 12. april ved hjælp af stjålne OAuth-tokens, der blev genereret til to tredjeparts GitHub-integrationer – Heroku og Travis-CI. Ved at udnytte tokens var angriberne i stand til at hente nøglen til adgang til Amazon Web Services API fra private GitHub-depoter, som blev anvendt i NPM-projektets infrastruktur. Den modtagne nøgle gav adgang til data, der blev opbevaret i AWS S3-tjenesten.
Derudover blev der afsløret oplysninger om tidligere identificerede alvorlige problemer med privatlivets fred ved behandling af brugerdata. servere NPM — i de interne logfiler blev nogle brugeres adgangskoder samt adgangstokens til NPM gemt i klartekst. I forbindelse med integrationen af NPM med GitHubs logføringssystem sikrede udviklerne ikke, at fortrolige oplysninger blev fjernet fra logfilerne, der indeholdt anmodninger til NPM-tjenesterne. Det hævdes, at fejlen er blevet rettet, og logfilerne er blevet renset, inden angrebet på NPM fandt sted. Kun enkelte medarbejdere hos GitHub havde adgang til logfilerne, der indeholdt åbne adgangskoder.
Kilde: opennet.ru
