{"id":103914,"date":"2022-04-29T15:36:47","date_gmt":"2022-04-29T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya"},"modified":"2022-04-29T15:36:47","modified_gmt":"2022-04-29T13:36:47","slug":"uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya","title":{"rendered":"Sicherheitsanf\u00e4lligkeit im NPM-Repository, die es erm\u00f6glicht, einen Begleiter ohne Best\u00e4tigung hinzuzuf\u00fcgen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im NPM-Paket-Repository wurde ein Sicherheitsproblem entdeckt, das es dem Paketinhaber erm\u00f6glicht, jeden Benutzer ohne dessen Zustimmung und ohne Informierung \u00fcber die durchgef\u00fchrte Handlung zu einem Maintainer hinzuzuf\u00fcgen. Das Problem wird dadurch versch\u00e4rft, dass der urspr\u00fcngliche Autor des Pakets sich selbst aus der Liste der Maintainer entfernen konnte, nachdem er einen fremden Benutzer hinzugef\u00fcgt hatte, wodurch dieser fremde Benutzer als das einzige verantwortliche Mitglied f\u00fcr das Paket blieb. <\/p>\n
Angreifer k\u00f6nnten diese Schwachstelle ausgenutzt haben, um b\u00f6sartige Pakete in die Liste bekannter Entwickler oder gro\u00dfer Unternehmen aufzunehmen. Dies soll das Vertrauen der Benutzer erh\u00f6hen und den Anschein erwecken, dass angesehene Entwickler f\u00fcr das Paket verantwortlich sind, obwohl sie tats\u00e4chlich nichts damit zu tun haben und nicht einmal von dessen Existenz wissen. Beispielsweise k\u00f6nnte ein Angreifer ein b\u00f6sartiges Paket ver\u00f6ffentlicht, den Begleiter gewechselt und Benutzer eingeladen haben, eine neue Entwicklung eines gro\u00dfen Unternehmens zu testen. Diese Schwachstelle k\u00f6nnte auch genutzt worden sein, um den Ruf bestimmter Entwickler zu sch\u00e4digen, indem sie als Verursacher fragw\u00fcrdiger Aktionen und b\u00f6swilliger Handlungen dargestellt werden. <\/p>\n
Das Unternehmen GitHub wurde am 10. Februar \u00fcber das Problem informiert und hat es am 26. April \u00fcber npmjs.com behoben, indem es eine obligatorische Best\u00e4tigung der Benutzer einf\u00fchrte, um sich einem anderen Projekt anzuschlie\u00dfen. Entwicklern einer gro\u00dfen Anzahl von NPM-Paketen wird empfohlen, zu \u00fcberpr\u00fcfen, ob in den von ihnen verwalteten Paketen Bindungen hinzugef\u00fcgt wurden, f\u00fcr die sie nicht ihre Zustimmung gegeben haben. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"