{"id":105307,"date":"2022-10-14T15:36:38","date_gmt":"2022-10-14T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah"},"modified":"2022-10-14T15:36:38","modified_gmt":"2022-10-14T13:36:38","slug":"ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","title":{"rendered":"Angreb p\u00e5 NPM, der g\u00f8r det muligt at bestemme tilstedev\u00e6relsen af pakker i private repositoryer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I NPM er der identificeret en fejl, der g\u00f8r det muligt at bestemme eksistensen af pakker i private repositories. Problemet skyldes forskelle i responstiderne ved anmodning om en eksisterende og en ikke-eksisterende pakke fra en tredjepart, der ikke har adgang til repository'et. I tilf\u00e6lde af at der ikke er adgang til nogen pakker i private repositories, returnerer serveren registry.npmjs.org en fejl med koden «404», men i tilf\u00e6lde af eksistensen af en pakke med det \u00f8nskede navn gives fejlen med en m\u00e6rkbar forsinkelse. Den angribende kan udnytte denne egenskab til at bestemme, om en pakke eksisterer ved at pr\u00f8ve forskellige pakke-navne fra ordlister. <\/p>\n
Identifikation af pakke navne i lukkede repository'er kan v\u00e6re n\u00f8dvendig for at udf\u00f8re angreb via afh\u00e6ngigheds-sammensmeltning, som manipulerer krydsningen af afh\u00e6ngigheds navne i offentlige og interne repository'er. Ved at vide, hvilke interne NPM-pakker der findes i virksomhedens repository'er, kan en angriber placere pakker med de samme navne og nyere versionsnumre i den offentlige NPM repository. Hvis de interne biblioteker ikke er klart bundet til deres repository i ops\u00e6tningen under opbygning, vil pakke administratoren npm betragte det offentlige repository som mere prioriteret og downloade den pakke, som angriberen har forberedt. <\/p>\n
GitHub blev underrettet om problemet i marts, men n\u00e6gtede at tilf\u00f8je beskyttelse mod angrebet og henviste til arkitektoniske begr\u00e6nsninger. Virksomheder, der bruger private repository'er, anbefales at tjekke for overlapping navne i den offentlige repository fra tid til anden eller at oprette stubbe under deres eget navn med navne, der gentager navnene p\u00e5 pakkerne i de private repository'er, s\u00e5 ondsindede akt\u00f8rer ikke kan placere deres pakker med overlappende navne. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"