{"id":105307,"date":"2022-10-14T15:36:38","date_gmt":"2022-10-14T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah"},"modified":"2022-10-14T15:36:38","modified_gmt":"2022-10-14T13:36:38","slug":"ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","title":{"rendered":"NPM-i r\u00fcnnak, mis v\u00f5imaldab tuvastada pakettide olemasolu privaatsetes hoidlates","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
NPM-is on tuvastatud puudus, mis v\u00f5imaldab m\u00e4\u00e4rata pakettide olemasolu privaatsetes hoidlates. Probleem tuleneb erinevast reaktsiooniajast olemasoleva ja mitteolemasoleva paketi esitamisel kolmanda osapoole kasutaja poolt, kellel pole hoidla juurde p\u00e4\u00e4su. Kui p\u00e4\u00e4su pole, tagastab server registry.npmjs.org k\u00f5igi privaatsete hoidlate paketide jaoks vea koodiga '404', kuid olemasoleva paketi puhul antakse viga v\u00e4lja m\u00e4rkimisv\u00e4\u00e4rse viivitusega. R\u00fcndaja v\u00f5ib seda omadust kasutada pakettide olemasolu m\u00e4\u00e4ramiseks, proovides erinevate nimede kombinatsioone s\u00f5nastike kaudu. <\/p>\n
Pakettide nimede m\u00e4\u00e4ramine suletud hoidlates v\u00f5ib olla vajalik r\u00fcnnakute tegemiseks, mis h\u00f5lmavad s\u00f5ltuvuste segamist, manipuleerides s\u00f5ltuvuste nimede \u00fchtesatmisega avalikes ja sisemistes hoidlates. Teades, millised sisemised NPM-paketid asuvad ettev\u00f5tte hoidlates, saab r\u00fcndaja avalikus NPM-hoidlas paigutada pakette, millel on samad nimed ja uuemad versiooninumbrid. Kui sisemised raamatukogud ei ole selgelt sidustatud nende hoidlate seadete kaudu, peab npm paketihaldur avalikku hoidlat prioriteetsemaks ja laadib alla r\u00fcndaja ettevalmistatud paketi. <\/p>\n
GitHub teavitati probleemist m\u00e4rtsis, kuid keeldus r\u00fcnnaku vastu kaitse lisamisest, viidates arhitektuurilistele piirangutele. Privaathoidlate kasutavatele ettev\u00f5tetele soovitatakse regulaarselt kontrollida \u00fchtesatavaid nimesid avalikes hoidlates v\u00f5i luua oma nime alt varukoopiad, mis kordavad privaathoidlate pakettide nimesid, et kurjategijad ei saaks paigutada oma pakette \u00fchtesatuvate nimedega. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"