{"id":102300,"date":"2021-11-16T21:36:39","date_gmt":"2021-11-16T19:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm"},"modified":"2021-11-16T21:36:39","modified_gmt":"2021-11-16T19:36:39","slug":"uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","title":{"rendered":"Eine Sicherheitsanf\u00e4lligkeit, die es erm\u00f6glichte, ein Update f\u00fcr jedes Paket im NPM-Repository zu ver\u00f6ffentlichen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen GitHub hat Informationen zu zwei Vorf\u00e4llen in der Infrastruktur des NPM-Paket-Repositorys ver\u00f6ffentlicht. Am 2. November meldeten externe Sicherheitsforscher (Kajetan Grzybowski und Maciej Piechota) im Rahmen des Bug-Bounty-Programms eine Schwachstelle im NPM-Repository, die es erm\u00f6glichte, eine neue Version eines beliebigen Pakets zu ver\u00f6ffentlichen, und das mit einem Konto, das nicht autorisiert war, solche Updates durchzuf\u00fchren. <\/p>\n
Die Schwachstelle resultierte aus einer fehlerhaften Berechtigungspr\u00fcfung im Code der Microservices, die die Anfragen an NPM verarbeiteten. Der Authentifizierungsdienst \u00fcberpr\u00fcfte die Zugriffsrechte auf Pakete anhand der im Anfrage \u00fcbermittelten Daten, w\u00e4hrend ein anderer Dienst, der das Update im Repository hochlud, das Paket zur Ver\u00f6ffentlichung basierend auf den Metadaten im hochgeladenen Paket bestimmte. Dadurch konnte ein Angreifer die Ver\u00f6ffentlichung eines Updates f\u00fcr sein Paket anfordern, auf das er Zugriff hatte, aber im Paket Informationen \u00fcber ein anderes Paket angeben, das letztendlich aktualisiert wurde. <\/p>\n
Das Problem wurde 6 Stunden nach Bekanntwerden der Sicherheitsanf\u00e4lligkeit behoben, aber die Schwachstelle war l\u00e4nger in NPM vorhanden, als die Telemetrie-Logs abdecken. GitHub gibt an, dass seit September 2020 keine Angriffe unter Ausnutzung dieser Schwachstelle verzeichnet wurden, jedoch gibt es keine Garantie, dass das Problem nicht zuvor ausgenutzt wurde. <\/p>\n
Der zweite Vorfall ereignete sich am 26. Oktober. W\u00e4hrend technischer Arbeiten an der Datenbank des Dienstes replicate.npmjs.com wurde festgestellt, dass vertrauliche Daten in der f\u00fcr externe Anfragen zug\u00e4nglichen Datenbank vorhanden waren, die Informationen \u00fcber die Namen interner Pakete enth\u00fcllen, die im \u00c4nderungsprotokoll erw\u00e4hnt wurden. Solche Informationen k\u00f6nnten f\u00fcr Angriffe auf Abh\u00e4ngigkeiten in internen Projekten verwendet werden (im Februar erm\u00f6glichte ein \u00e4hnlicher Angriff die Ausf\u00fchrung von Code auf Servern<\/a> PayPal, Microsoft, Apple, Netflix, Uber und weiteren 30 Unternehmen). <\/p>\n