NPM-i hoidlas on haavatavust, mis võimaldab lisada kaaslast ilma kinnitamiseta.

NPM paketite hoidlas avastati turvaprobleem, mis võimaldab paketi omanikul lisada mis tahes kasutaja hooldajatena, saamata sellelt kasutajalt nõusolekut ega teavitamata toimingust. Probleemi süvendab see, et pärast kolmanda osapoole kasutaja lisamist hooldajatena, võib algne paketi autor eemaldada end hooldajatest ja kolmas osapool jääb ainukeseks isikuks, kes vastutab paketi eest.

Probleemist võisid kasu lõigata pahatahtlikud pakettide loojad, lisades tuntud arendajad või suurte ettevõtete esindajad hooldajatena, et suurendada kasutajate usaldust ja luua illusioon, et väljakohtade arendajad vastutavad paketi eest, kuigi neil pole sellega mingeid sidemeid ja nad ei tea isegi selle olemasolust. Näiteks võis ründaja postitada pahatahtliku paketi, vahetada hooldajat ja kutsuda kasutajaid testima uue arenduse suur ettevõte. Haavatavust võidi kasutada ka teatud arendajate maine kahjustamiseks, esitades nad kahtlaste tegevuste algatajatena.

GitHubile anti probleemist teada 10. veebruaril ja see lahendati npmjs.com-is 26. aprillil, nõudes kasutajate nõusoleku kinnitamist teise projekti liitumiseks. Suure hulga NPM pakettide arendajatele soovitati kontrollida, kas nende omandis olevate pakkide loendis on seoseid, mis on lisatud ilma nende nõusolekuta.

Allikas: opennet.ru