GitHub avaldas andmed NPM infrastruktuuri häkkimise ja avatud paroolide avastamise kohta logides

GitHub avaldas haarangute analüüsi tulemused, mille käigus pääsesid 12. aprillil ründajad ligi Amazon AWS teenuse pilvekeskkondadele, mida kasutati NPM projekti infrastruktuuris. Insidenti analüüsides selgus, et ründajad pääsesid ligi skimdb.npmjs.com hosti varukoopiatele, sealhulgas umbes 100 000 NPM kasutaja andmebaasi varukoopia juurde, mis oli loodud 2015. aastal ning sisaldas paroolihash'e, nimesid ja e-kirju.

Paroolihash'id loodi PBKDF2 või SHA1 soolaga, mille kasutamine asendati 2017. aastal krüptiliselt tugevama bcrypt'iga. Pärast insidentide tuvastamist lähtestati lekkinud paroolid ja kasutajatele saadeti teavitus uue parooli seadistamise vajadusest. Kuna alates 1. märtsist on NPM-is kehtestatud kohustuslik kahefaktoriline autentimine e-kirjaga kinnitamisega, siis on kasutajate kompromiteerimise oht hinnatud madalaks.

Lisaks saidi ründajate kätesse jõudsid kõik manifestifailid ja privaatpakettide metaandmed, mis olid seisuga aprill 2021, samuti CSV-failid, kus on ajakohane loetelu kõigist privaatpakettide nimedest ja versioonidest, ning kõik kahe GitHubi kliendi privaatpakettide sisu (nimesid ei avalikustata). Mis puudutab reposi endaga, siis jälgide analüüs ja pakettide kontrollimise hash'id ei tuvastanud ründajate muudatusi NPM-pakettides ega valeversioonide avaldamist.

Rünnak toimus 12. aprillil varastatud OAuth-tokenite abil, mis olid genereeritud kahe kolmanda osapoole GitHubi integratsiooni — Heroku ja Travis-CI — jaoks. Kasutades need tokenid, suutsid ründajad väljatseda GitHubi privaatsetest repodega API Amazon Web Services'ile juurdepääsu võtme, mida kasutati NPM-i projekti infrastruktuuris. Saadud võti võimaldas pääseda AWS S3 teenuses hoitavatele andmetele.

Lisaks paljastati varasemalt tuvastatud tõsiste probleeme isikuandmete töötlemise konfidentsiaalsusega serverites NPM — NPM-i siselogs hoiti avatud kujul salvestatud mitmete NPM-i kasutajate salasõnad ning NPM-i pääsutekid. NPM-i integreerimise käigus GitHubi logimise süsteemiga ei tagatud, et konfidentsiaalne teave eemaldatakse logisse salvestatud NPM-i teenuste päringutest. Ühenduse väitel oli puudus kõrvaldatud ja logid puhastatud veel enne NPM-i rünnakut. Juurdepääs logidele, mis sisaldasid avatud salasõnu, oli vaid mõnel GitHubi töötajal.

Allikas: opennet.ru