GitHub avalikustas andmed NPM infrastruktuuri häkimise ning avatud paroolide tuvastamise kohta logides.

GitHub teatas rünnaku analüüsi tulemustest, mille käigus said kurjategijad 12. aprillil juurdepääsu Amazoni AWS teenuses kasutatavatele pilviinfrahhi tööle, mis on seotud NPM projektiga. Juhtumi analüüs näitas, et ründajad pääsesid ligi skidmd.npmjs.com hosti varukoopiatele, sealhulgas 2015. aasta seisuga ligikaudu 100 000 NPM kasutaja autentimisandmetega varukoopiale, mille hulka kuuluvad paroolide räsid, nimed ja e-posti aadressid.

Paroolide räsid loodi PBKDF2 või SHA1 algoritmide abil soolaga, mis 2017. aastal asendati brute-force rünnakute suhtes tugevama bcrypt algoritmiga. Incidendi tuvastamisel tühistati lekkega seotud paroolid ja kasutajatele saadeti teated uue parooli seadistamise vajadusest. Kuna NPM-is on alates 1. märtsist rakendatud kohustuslik kahefaktoriline autentimine e-kirja kinnitamisega, peetakse kasutajate kompromiteerimise ohtu minimaalseks.

Lisaks langesid ründajate kätte kõik manifestifailid ja privaatsete pakettide metaandmed aprilli 2021. aasta seisuga, CSV-failid, mis sisaldavad ajakohast nimekirja kõikidest privaatsete pakettide nimedest ja versioonidest, samuti kahe GitHubi kliendi privaatsete pakettide kogu sisu (nimed ei ole avalikustatud). Mis puudutab iseennast hoidlat, siis jälgede analüüs ja pakettide räsimärkide kinnitamine ei tuvastanud ründajate muudatusi NPM-pakettides ega valeversioonide avaldamist.

Rünnak toimus 12. aprillil varastatud OAuth tokenite abil, mis loodi kahe kolmanda osapoole GitHubi integrandi — Heroku ja Travis-CI jaoks. Kasutades tokeneid, suutsid ründajad eraldada privaatsetest GitHubi hoidlatest võtme, mis andis juurdepääsu Amazon Web Services API-le, mida kasutatakse NPM projekti infrahhi tööle. Saadud võti võimaldas ligipääsu AWS S3 teenuses hoitud andmetele.

Lisaks avaldati teavet varem tuvastatud tõsiste privaatsusprobleemide kohta, mis on seotud kasutajate andmete töötlemisega. serverites NPM — sisemistes logides salvestati mõnede NPM kasutajate paroolid ja juurdepääsutokensid avatud kujul. NPM integreerimisel GitHubi logihaldussüsteemiga ei suutnud arendajad tagada, et konfidentsiaalne teave eemaldatakse NPM teenustele esitatavatest logi päringutest. Väidetakse, et viga on kõrvaldatud ja logid puhastatud veel enne rünnakut NPM-i vastu. Avatud paroolidega logidele pääsesid ligi vaid mõned GitHubi töötajad.

Allikas: opennet.ru