Haavatavus, mis võimaldas välja anda värskenduse igale NPM hoidlas olevale paketile

GitHub andis teada kahest juhtumist NPM pakirepositorios. 2. novembril teatasid välised turvauurijad (Kajetan Grzybowski ja Maciej Piechota) Bug Bounty programmi raames, et NPM-repos on haavatav, võimaldades igaühel avaldada uue versiooni mis tahes paketist, kasutades selleks oma kontot, mis ei ole volitatud selliste uuenduste tegemiseks.

Haavatavus tekkis õiguste kontrollimise vale teostamise tõttu NPM-iga tegeleva mikroteenuse koodis. Volituste teenus kontrollis pakettide juurdepääsuõigusi päringus edastatavate andmete alusel, kuid teine teenus, mis laadis värskendust reposse, määras avaldamiseks paketi üles laaditud paketi metainformatsiooni alusel. Sel moel võis ründaja taotleda värskenduse avaldamist oma paketile, millele tal on juurdepääs, kuid pakendis ise märkida teise paketi teavet, mis lõpuks uuendatuks osutus.

Probleem lahendati 6 tunni jooksul pärast haavatavusest teate saamist, kuid haavatavus oli NPM-is liikvel kauem, kui telemeetriaprotokollide logid näitavad. GitHub väidab, et alates 2020. aasta septembrist ei ole registreeritud rünnakute jälgi, mis kasutavad seda haavatavust, kuid puuduvad garantiid, et probleem ei olnud varem ära kasutatud.

Teine intsident toimus 26. oktoobril. Teenuse replicate.npmjs.com andmebaasi tehniliste tööde käigus tuvastati, et avalikult ligipääsetavas andmebaasis olid konfidentsiaalsed andmed, mis paljastavad teavet sisepakettide nimede kohta, mis olid mainitud muudatuste logis. Selliste nimede teavet võidakse kasutada rünnakute sooritamiseks siseprojektide sõltuvustele (veebruaris võimaldas sarnane rünnak koodi käivitada serverites PayPal, Microsoft, Apple, Netflix, Uber ja veel 30 ettevõtet).

Lisaks on seoses suurenenud juhtumite arvu jaotumisega suurte projektide hoidlate haaramiseks ning pahavara koodi edendamisega läbi arendajate kontode kompimise, otsustanud ettevõte GitHub kehtestada kohustusliku kahefaktorilise autentimise. Muutus jõustub 2022. aasta esimeses kvartalis ning puudutab haldajaid ja pakettide administraatoreid, mis on loetletud populaarsemate seas. Samuti teavitatakse infrastruktuuri uuendamisest, kus rakendatakse automatiseeritud jälgimist ja analüüsi uute versioonide paketid, et varakult tuvastada pahatahtlikke muudatusi.

Tulet meenutada, et 2020. aastal läbi viidud uuringu kohaselt kasutas vaid 9,27% paketihalduritest kahefaktorilist autentimist juurdepääsu kaitsmiseks, samas kui 13,37% juhtudest üritasid arendajad uute kontode registreerimise ajal uuesti kasutada kompromiteeritud paroole, mis olid tuntud paroolileketes. Paroolide usaldusväärsuse kontrollimise käigus õnnestus pääseda 12% NPM-i kontodest (13% pakettidest) tänu etteennustavate ja triviaalsete paroolide, näiteks "123456", kasutamisele. Probleemsete hulgas olid 4 kontot kasutajatest Top20 kõige populaarsemas tootes, 13 kontot, kuidas pakette, mille allalaadimised ületasid 50 miljonit kuus, 40 - koos rohkem kui 10 miljoni allalaadimisega kuus ja 282 - koos rohkem kui 1 miljon allalaadimisega kuus. Arvestades sõltuvuste ahelas moduleid allalaadimist, võisid ebaturvaliste kontode kompromiteerimine tabada kokku kuni 52% NPM-i kõikidest moodulitest.

Allikas: opennet.ru