Haavatavus, mis võimaldas välja anda uuendusi mis tahes pakettide jaoks NPM hoidlas

GitHub avaldas teavet kahe NPM pakirepositoorsüsteemi infrastruktuuri Incidendi kohta. 2. novembril teatasid välised turvaeksperdid (Kajetan Grzybowski ja Maciej Piechota) Bug Bounty programmi raames, et NPM repositooriumis on haavatavust, mis võimaldab avaldada uusi versioone mistahes paketist, kasutades selleks oma kontot, mis ei ole autoriseeritud sellisteks uuendusteks.

Haavatavus oli põhjustatud volituste vale kontrollimise tõttu NPM-i päringute käsitlemisel mikroteenuste koodis. Autentimis­teenus kontrollis pakettide juurdepääsuõigusi päringus edastatud andmete põhjal, kuid teine teenus, mis laadis uuenduse repositooriumisse, määras avaldamiseks mõeldud paketi üles laaditud paketi metaandmete sisu alusel. Niisiis sai ründaja taotleda oma paketi uuenduse avaldamist, millele tal on juurdepääs, kuid esitada paketi sees teise paketi teabe, mis siis lõpuks uuendati.

Probleem lahendati kuue tunni jooksul pärast haavatavuse avastamist, kuid haavatavus püsis NPM-is kauem, kui telemeetrialogid katavad. GitHub väidab, et alates 2020. aasta septembrist ei ole rünnakute jälgi selle haavatavuse kasutamise kohta registreeritud, kuid ei ole mingeid garante, et probleem ei olnud varem ära kasutatud.

Teine intsident juhtus 26. oktoobril. Replicate.npmjs.com teenuse andmebaasi tehniliste tööde käigus avastati, et välistele päringutele juurdepääsetav andmebaas sisaldas konfidentsiaalset teavet, mis paljastas sisemiste paketnameede nimesid, mis olid mainitud muutuste logis. Selliste nimede teave võib olla kasutatud rünnakute teostamiseks sõltuvustele sisemistes projektides (veebruaris võimaldas sarnane rünnak koodi täitmist PayPali, Microsofti, Apple'i, Netflixi, Uberi ja veel 30 ettevõttega). serverites PayPal, Microsoft, Apple, Netflix, Uber ja veel 30 ettevõtet).

Seetõttu, arvestades suurenenud juhtumeid suurte projektide repositorite hõivamisest ja pahavara koodi edendamisest arendajate kontode kompromiteerimise kaudu, võttis ettevõte GitHub vastu otsuse kehtestada kohustuslik kahe faktoriga autentimine. Muudatus jõustub 2022. aasta esimeses kvartalis ja rakendub kõige populaarsemate pakettide hooldajatele ja administraatoritele. Täiendavalt teatatakse infrastruktuuri uuendamisest, kuhu rakendatakse automatiseeritud jälgimist ja uute paketiversioonide analüüsi pahatahtlike muudatuste varajaseks tuvastamiseks.

Tuletame meelde, et 2020. aastal läbi viidud uuringu kohaselt kasutab vaid 9.27% pakettide hooldajatest kahe faktoriga autentimist juurdepääsu kaitsmiseks ning 13.37% juhtudel üritasid arendajad registreerimise käigus korduvkasutada kompromiteeritud paroole, mis esinevad tuntud paroolilekete hulgas. Paroolide usaldusväärsuse kontrollimise käigus õnnestus ligipääs saada 12% kontosid NPM-is (13% pakettidest) tänu etteennustatavate ja triviaalsete paroolide, nagu „123456”, kasutamisele. Probleemsete seas olid 4 kasutajakontot Top20 kõige populaarsema paketi seas, 13 kasutajakontot, mille paketid laaditi alla rohkem kui 50 miljonit korda kuus, 40 — rohkem kui 10 miljonit allalaadimist kuus ja 282 enam kui 1 miljon allalaadimist kuus. Arvestades sõltuvusmoodulite allalaadimist, võis usaldamatute kontode kompromiteerimine kokkuvõttes mõjutada kuni 52% kõigist moodulitest NPM-is.

Allikas: opennet.ru