GitHub a révélé des données sur le piratage de l'infrastructure NPM et sur la découverte de mots de passe en clair dans les journaux

La société GitHub a publié les résultats de l'analyse d'une attaque qui, le 12 avril, a permis à des malfaiteurs d'accéder aux environnements cloud du service Amazon AWS utilisés dans l'infrastructure du projet NPM. L'analyse de l'incident a révélé que les attaquants avaient accès aux sauvegardes de l'hôte skimdb.npmjs.com, y compris à une sauvegarde de la base de données contenant les informations d'environ 100 000 utilisateurs de NPM au début de l'année 2015, incluant des hachages de mots de passe, des noms et des adresses e-mail.

Les hachages de mots de passe ont été créés en utilisant les algorithmes PBKDF2 ou SHA1 avec une salage, qui en 2017 ont été remplacés par bcrypt, plus résistant aux tentatives de cassage. Après la découverte de l'incident, les mots de passe compromis ont été réinitialisés, et les utilisateurs ont été informés de la nécessité de définir un nouveau mot de passe. Étant donné que, depuis le 1er mars, NPM a mis en place une authentification à deux facteurs obligatoire avec confirmation par e-mail, le risque de compromission des utilisateurs est évalué comme négligeable.

De plus, les attaquants ont eu accès à tous les fichiers de manifeste et aux métadonnées des paquets privés datant d'avril 2021, ainsi qu'à des fichiers CSV contenant la liste à jour de tous les noms et versions des paquets privés. Ils ont également obtenu le contenu de tous les paquets privés de deux clients de GitHub (les noms ne sont pas divulgués). En ce qui concerne le dépôt lui-même, l'analyse des traces et la vérification des hachages des paquets n'ont révélé aucune modification apportée par les attaquants aux paquets NPM ni publication de fausses nouvelles versions de paquets.

L'attaque a eu lieu le 12 avril en utilisant des jetons OAuth volés, générés pour deux intégrateurs tiers de GitHub — Heroku et Travis-CI. En exploitant ces jetons, les attaquants ont pu extraire d'un dépôt privé de GitHub une clé d'accès à l'API Amazon Web Services, utilisée dans l'infrastructure du projet NPM. La clé obtenue a permis d'accéder aux données stockées dans le service AWS S3.

Des informations supplémentaires ont été révélées sur des problèmes de confidentialité déjà identifiés dans le traitement des données utilisateurs. serveurs NPM — des mots de passe de certains utilisateurs de NPM ainsi que des tokens d'accès à NPM étaient conservés en clair dans les journaux internes. Lors de l'intégration de NPM avec le système de gestion des journaux de GitHub, les développeurs n'ont pas assuré l'effacement des informations sensibles dans les requêtes envoyées aux services NPM. Il est affirmé que cette lacune a été corrigée et que les journaux ont été nettoyés avant même l'attaque sur NPM. Seuls certains employés de GitHub avaient accès aux journaux contenant des mots de passe non sécurisés.

Source : opennet.ru