{"id":105307,"date":"2022-10-14T15:36:38","date_gmt":"2022-10-14T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah"},"modified":"2022-10-14T15:36:38","modified_gmt":"2022-10-14T13:36:38","slug":"ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","title":{"rendered":"Ataque a NPM que permite determinar la existencia de paquetes en repositorios privados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Se ha identificado un defecto en NPM que permite determinar la existencia de paquetes en repositorios privados. El problema se debe a diferentes tiempos de respuesta al solicitar un paquete existente y uno no existente por un usuario externo que no tiene acceso al repositorio. Si no hay acceso a ning\u00fan paquete en repositorios privados, el servidor registry.npmjs.org devuelve un error con el c\u00f3digo \u00ab404\u00bb, pero en el caso de que exista un paquete con el nombre solicitado, el error se devuelve con una demora notable. Un atacante puede utilizar esta caracter\u00edstica para determinar la presencia de un paquete al probar nombres de paquetes mediante diccionarios. <\/p>\n
La identificaci\u00f3n de nombres de paquetes en repositorios privados puede ser necesaria para llevar a cabo un ataque mediante la mezcla de dependencias, manipulando la intersecci\u00f3n de nombres de dependencias en repositorios p\u00fablicos y privados. Conociendo qu\u00e9 paquetes internos de NPM est\u00e1n presentes en los repositorios corporativos, un atacante puede publicar paquetes con los mismos nombres y n\u00fameros de versi\u00f3n m\u00e1s recientes en el repositorio p\u00fablico de NPM. Si durante la compilaci\u00f3n las bibliotecas internas no est\u00e1n expl\u00edcitamente vinculadas en la configuraci\u00f3n a su repositorio, el gestor de paquetes npm considerar\u00e1 m\u00e1s prioritario el repositorio p\u00fablico y descargar\u00e1 el paquete preparado por el atacante. <\/p>\n
GitHub fue notificado sobre el problema en marzo, pero se neg\u00f3 a agregar protecci\u00f3n contra el ataque, citando limitaciones arquitect\u00f3nicas. Se recomienda a las empresas que utilizan repositorios privados que verifiquen peri\u00f3dicamente la aparici\u00f3n de nombres que se crucen en el repositorio p\u00fablico o que creen en su nombre proxies con nombres que replican los nombres de los paquetes en los repositorios privados, para que los atacantes no puedan publicar sus paquetes con nombres que se crucen. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"