{"id":103914,"date":"2022-04-29T15:36:47","date_gmt":"2022-04-29T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya"},"modified":"2022-04-29T15:36:47","modified_gmt":"2022-04-29T13:36:47","slug":"uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya","title":{"rendered":"Sicherheitsanf\u00e4lligkeit im NPM-Repository, die es erm\u00f6glicht, einen Mitwirkenden ohne Best\u00e4tigung hinzuzuf\u00fcgen.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im NPM-Paket-Repository wurde ein Sicherheitsproblem festgestellt, das es dem Paketinhaber erm\u00f6glicht, jeden Benutzer ohne dessen Zustimmung und ohne ihn \u00fcber die durchgef\u00fchrte Handlung zu informieren, als Mitbetreuer hinzuzuf\u00fcgen. Das Problem wird dadurch versch\u00e4rft, dass der urspr\u00fcngliche Autor des Pakets sich selbst aus der Liste der Mitbetreuer entfernen konnte, nachdem ein weiterer Benutzer hinzugef\u00fcgt wurde, und der externe Benutzer somit die einzige verantwortliche Person f\u00fcr das Paket blieb. <\/p>\n
Schadhafter Paketentwickler k\u00f6nnten dieses Problem ausnutzen, um bekannte Entwickler oder gro\u00dfe Unternehmen als Mitbetreuer hinzuzuf\u00fcgen, um das Vertrauen der Nutzer zu gewinnen und den Anschein zu erwecken, dass angesehene Entwickler f\u00fcr das Paket verantwortlich sind, obwohl sie in Wirklichkeit keinen Bezug dazu haben und nicht einmal von dessen Existenz wissen. Zum Beispiel k\u00f6nnte ein Angreifer ein schadhafteres Paket ver\u00f6ffentlichen, den Mitbetreuer wechseln und Benutzer einladen, eine neue Entwicklung eines gro\u00dfen Unternehmens zu testen. Die Schwachstelle k\u00f6nnte auch genutzt werden, um den Ruf bestimmter Entwickler zu sch\u00e4digen, indem man sie als Initiatoren von fragw\u00fcrdigen Aktionen und sch\u00e4dlichen Handlungen darstellt. <\/p>\n
Das Unternehmen GitHub wurde am 10. Februar \u00fcber das Problem informiert und hat es am 26. April durch die Einf\u00fchrung einer obligatorischen Best\u00e4tigung f\u00fcr Benutzer zur Zustimmung, einem anderen Projekt beizutreten, behoben. Entwicklern einer Vielzahl von NPM-Paketen wird geraten, zu \u00fcberpr\u00fcfen, ob in der Liste der ihnen geh\u00f6renden Pakete Bindungen hinzugef\u00fcgt wurden, ohne dass sie zugestimmt haben. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"