Sicherheitsanfälligkeit im NPM-Repository, die es ermöglicht, einen Mitwirkenden ohne Bestätigung hinzuzufügen.

Im NPM-Paket-Repository wurde ein Sicherheitsproblem festgestellt, das es dem Paketinhaber ermöglicht, jeden Benutzer ohne dessen Zustimmung und ohne ihn über die durchgeführte Handlung zu informieren, als Mitbetreuer hinzuzufügen. Das Problem wird dadurch verschärft, dass der ursprüngliche Autor des Pakets sich selbst aus der Liste der Mitbetreuer entfernen konnte, nachdem ein weiterer Benutzer hinzugefügt wurde, und der externe Benutzer somit die einzige verantwortliche Person für das Paket blieb.

Schadhafter Paketentwickler könnten dieses Problem ausnutzen, um bekannte Entwickler oder große Unternehmen als Mitbetreuer hinzuzufügen, um das Vertrauen der Nutzer zu gewinnen und den Anschein zu erwecken, dass angesehene Entwickler für das Paket verantwortlich sind, obwohl sie in Wirklichkeit keinen Bezug dazu haben und nicht einmal von dessen Existenz wissen. Zum Beispiel könnte ein Angreifer ein schadhafteres Paket veröffentlichen, den Mitbetreuer wechseln und Benutzer einladen, eine neue Entwicklung eines großen Unternehmens zu testen. Die Schwachstelle könnte auch genutzt werden, um den Ruf bestimmter Entwickler zu schädigen, indem man sie als Initiatoren von fragwürdigen Aktionen und schädlichen Handlungen darstellt.

Das Unternehmen GitHub wurde am 10. Februar über das Problem informiert und hat es am 26. April durch die Einführung einer obligatorischen Bestätigung für Benutzer zur Zustimmung, einem anderen Projekt beizutreten, behoben. Entwicklern einer Vielzahl von NPM-Paketen wird geraten, zu überprüfen, ob in der Liste der ihnen gehörenden Pakete Bindungen hinzugefügt wurden, ohne dass sie zugestimmt haben.

Quelle: opennet.ru