Une attaque sur NPM permettant de détecter la présence de paquets dans des dépôts privés.

Une vulnérabilité a été détectée dans NPM, permettant de déterminer l'existence de paquets dans des dépôts privés. Ce problème est causé par une différence de temps de réponse lors de la requête d'un paquet existant et d'un paquet inexistant par un utilisateur externe n'ayant pas accès au dépôt. En l'absence d'accès à des paquets dans des dépôts privés, le serveur registry.npmjs.org renvoie une erreur avec le code « 404 », mais dans le cas où un paquet avec le nom demandé existe, l'erreur est retournée avec un délai perceptible. Un attaquant peut exploiter cette caractéristique pour déterminer la présence d'un paquet en passant en revue les noms de paquets à l'aide de dictionnaires.

La détermination des noms de paquets dans des dépôts privés peut être nécessaire pour réaliser une attaque par mélange de dépendances, qui manipule les intersections de noms de dépendances entre dépôts publics et internes. Sachant quels paquets NPM internes sont présents dans les dépôts d'entreprise, un attaquant peut publier des paquets portant les mêmes noms et des numéros de version plus récents dans un dépôt public NPM. Si, lors de la construction, les bibliothèques internes ne sont pas explicitement liées à leur dépôt dans la configuration, le gestionnaire de paquets npm considérera le dépôt public comme plus prioritaire et téléchargera le paquet préparé par l'attaquant.

GitHub a été informé du problème en mars, mais a refusé d'ajouter une protection contre cette attaque en invoquant des limitations architecturales. Les entreprises utilisant des dépôts privés sont conseillées de vérifier périodiquement l'apparition de noms se chevauchant dans le dépôt public ou de créer, en leur nom, des substituts avec des noms répétant les noms de paquets dans les dépôts privés, afin que les malfaiteurs ne puissent pas publier leurs paquets avec des noms similaires.

Source : opennet.ru