Das Unternehmen GitHub hat Informationen \u00fcber zwei Vorf\u00e4lle in der Infrastruktur des NPM-Paketrepositories offengelegt. Am 2. November informierten externe Sicherheitsexperten (Kajetan Grzybowski und Maciej Piechota) im Rahmen des Bug-Bounty-Programms \u00fcber eine Schwachstelle im NPM-Repository, die es erm\u00f6glichte, eine neue Version eines beliebigen Pakets \u00fcber ein Konto zu ver\u00f6ffentlichen, das nicht autorisiert war, solche Updates durchzuf\u00fchren. <\/p>\n
Die Schwachstelle resultierte aus einer fehlerhaften Authentifizierungspr\u00fcfung im Code der Mikrodienste, die Anfragen an NPM bearbeiteten. Der Authentifizierungsdienst pr\u00fcfte die Zugriffsrechte f\u00fcr Pakete auf der Grundlage der in der Anfrage \u00fcbermittelten Daten, w\u00e4hrend ein anderer Dienst, der das Update im Repository hochlud, das zu ver\u00f6ffentlichende Paket anhand des Inhalts der Metadaten im hochgeladenen Paket bestimmte. Auf diese Weise konnte ein Angreifer die Ver\u00f6ffentlichung eines Updates f\u00fcr sein Paket anfordern, auf das er Zugriff hatte, aber Informationen \u00fcber ein anderes Paket im eigenen Paket angeben, das letztlich aktualisiert werden w\u00fcrde. <\/p>\n
Das Problem wurde sechs Stunden nach Bekanntwerden der Schwachstelle behoben, aber die Schwachstelle war l\u00e4nger im NPM vorhanden, als die Telemetriedaten erfassen. GitHub behauptet, dass seit September 2020 keine Angriffe mit dieser Schwachstelle aufgezeichnet wurden, es gibt jedoch keine Garantie daf\u00fcr, dass die Schwachstelle nicht bereits fr\u00fcher ausgenutzt wurde. <\/p>\n
Der zweite Vorfall ereignete sich am 26. Oktober. Bei technischen Arbeiten an der Datenbank des Dienstes replicate.npmjs.com wurde in einer f\u00fcr externe Anfragen zug\u00e4nglichen Datenbank das Vorhandensein von sensiblen Daten festgestellt, die Informationen \u00fcber die Namen interner Pakete enth\u00fcllten, die im \u00c4nderungsprotokoll erw\u00e4hnt wurden. Informationen \u00fcber solche Namen k\u00f6nnten f\u00fcr Angriffe auf Abh\u00e4ngigkeiten in internen Projekten verwendet werden (im Februar erm\u00f6glichte ein \u00e4hnlicher Angriff die Ausf\u00fchrung von Code auf Servern<\/a> PayPal, Microsoft, Apple, Netflix, Uber und weiteren 30 Unternehmen). <\/p>\n Au\u00dferdem hat das Unternehmen GitHub beschlossen, aufgrund der h\u00e4ufigen Vorf\u00e4lle von Repository-\u00dcbernahmen gro\u00dfer Projekte und der Verbreitung von schadhafter Software durch die Kompromittierung von Entwicklerkonten eine verpflichtende Zwei-Faktor-Authentifizierung einzuf\u00fchren. Diese \u00c4nderung wird im ersten Quartal 2022 in Kraft treten und sich auf die Betreuer und Administratoren von Paketen erstrecken, die auf der Liste der beliebtesten Pakete stehen. Zus\u00e4tzlich wird \u00fcber die Modernisierung der Infrastruktur berichtet, in der automatisiertes Monitoring und die Analyse neuer Paketversionen zur fr\u00fchzeitigen Erkennung sch\u00e4dlicher Ver\u00e4nderungen eingef\u00fchrt werden. <\/p>\n Laut einer Studie aus dem Jahr 2020 verwenden nur 9,27 % der Paket-Maintainer zur Sicherung des Zugriffs die Zwei-Faktor-Authentifizierung, und in 13,37 % der F\u00e4lle versuchten Entwickler bei der Registrierung neuer Accounts, kompromittierte Passw\u00f6rter, die in bekannten Passwortlecks vorkommen, wiederzuverwenden. Bei der \u00dcberpr\u00fcfung der Sicherheit der verwendeten Passw\u00f6rter konnte auf 12 % der Accounts in NPM (13 % der Pakete) zugegriffen werden, aufgrund der Verwendung vorhersehbarer und einfacher Passw\u00f6rter wie \"123456\". Unter den problematischen Konten befanden sich 4 Konten aus den Top 20 der beliebtesten Pakete, 13 Konten von Paketen, die \u00fcber 50 Millionen Mal pro Monat heruntergeladen wurden, 40 mit mehr als 10 Millionen Downloads pro Monat und 282 mit mehr als 1 Million Downloads pro Monat. Aufgrund der Modul-Ladungen \u00fcber Abh\u00e4ngigkeitsketten k\u00f6nnte die Kompromittierung unsicherer Konten insgesamt bis zu 52 % aller Module in NPM betreffen. \u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f GitHub \u0440\u0430\u0441\u043a\u0440\u044b\u043b\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0434\u0432\u0443\u0445 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430\u0445 \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u043e\u0432 NPM. 2 \u043d\u043e\u044f\u0431\u0440\u044f \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (Kajetan Grzybowski \u0438 Maciej Piechota) \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b Bug Bounty \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0438 \u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 NPM \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u0442\u044c \u043d\u043e\u0432\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u043b\u044e\u0431\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u0432\u043e\u044e \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c, \u043d\u0435 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0439. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0431\u044b\u043b\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-102300","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Eine Schwachstelle, die es erm\u00f6glichte, Updates f\u00fcr beliebige Pakete im NPM-Repository herauszugeben | ProHoster","description":"Das Unternehmen GitHub hat Informationen \u00fcber zwei Vorf\u00e4lle in der Infrastruktur des NPM-Paket-Repositorys ver\u00f6ffentlicht.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0432\u0448\u0430\u044f \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 NPM | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f GitHub \u0440\u0430\u0441\u043a\u0440\u044b\u043b\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0434\u0432\u0443\u0445 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430\u0445 \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u043e\u0432 NPM.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-11-16T19:36:39+00:00","article:modified_time":"2021-11-16T19:36:39+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"102300","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-11-16 19:37:47","updated":"2022-10-03 22:09:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102300","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=102300"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102300\/revisions"}],"predecessor-version":[{"id":164408,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/102300\/revisions\/164408"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=102300"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=102300"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=102300"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"