{"id":102300,"date":"2021-11-16T21:36:39","date_gmt":"2021-11-16T19:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm"},"modified":"2021-11-16T21:36:39","modified_gmt":"2021-11-16T19:36:39","slug":"uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","title":{"rendered":"Vuln\u00e9rabilit\u00e9 permettant de publier une mise \u00e0 jour pour n'importe quel package dans le d\u00e9p\u00f4t NPM","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La soci\u00e9t\u00e9 GitHub a annonc\u00e9 deux incidents survenus dans l'infrastructure du d\u00e9p\u00f4t de paquets NPM. Le 2 novembre, des chercheurs en s\u00e9curit\u00e9 ind\u00e9pendants (Kajetan Grzybowski et Maciej Piechota) ont signal\u00e9 une vuln\u00e9rabilit\u00e9 dans le d\u00e9p\u00f4t NPM dans le cadre du programme Bug Bounty, permettant de publier une nouvelle version de tout paquet en utilisant un compte non autoris\u00e9 pour effectuer de telles mises \u00e0 jour. <\/p>\n

La vuln\u00e9rabilit\u00e9 \u00e9tait due \u00e0 une v\u00e9rification des droits incorrecte dans le code des microservices qui traitent les requ\u00eates \u00e0 NPM. Le service d'authentification v\u00e9rifiait les droits d'acc\u00e8s aux paquets en fonction des donn\u00e9es transmises dans la requ\u00eate, mais un autre service, qui t\u00e9l\u00e9charge la mise \u00e0 jour dans le d\u00e9p\u00f4t, d\u00e9terminait le paquet \u00e0 publier en fonction des m\u00e9tadonn\u00e9es contenues dans le paquet t\u00e9l\u00e9charg\u00e9. Ainsi, un attaquant pouvait demander la publication d'une mise \u00e0 jour pour son propre paquet, auquel il avait acc\u00e8s, tout en sp\u00e9cifiant dans le paquet lui-m\u00eame les informations d'un autre paquet qui serait finalement mis \u00e0 jour. <\/p>\n

Le probl\u00e8me a \u00e9t\u00e9 corrig\u00e9 six heures apr\u00e8s la divulgation de l'information sur la vuln\u00e9rabilit\u00e9, mais cette vuln\u00e9rabilit\u00e9 \u00e9tait pr\u00e9sente dans NPM plus longtemps que ce que couvrent les journaux de t\u00e9l\u00e9m\u00e9trie. GitHub affirme qu'aucune trace d'attaques utilisant cette vuln\u00e9rabilit\u00e9 n'a \u00e9t\u00e9 enregistr\u00e9e depuis septembre 2020, mais il n'y a aucune garantie que le probl\u00e8me n'ait pas \u00e9t\u00e9 exploit\u00e9 auparavant. <\/p>\n

Le deuxi\u00e8me incident s'est produit le 26 octobre. Lors d'op\u00e9rations techniques sur la base de donn\u00e9es du service replicate.npmjs.com, des donn\u00e9es confidentielles r\u00e9v\u00e9lant des informations sur les noms de paquets internes mentionn\u00e9s dans le journal des modifications ont \u00e9t\u00e9 d\u00e9couvertes dans une base de donn\u00e9es accessible aux requ\u00eates externes. Ces informations sur de tels noms peuvent \u00eatre utilis\u00e9es pour mener des attaques sur des d\u00e9pendances dans des projets internes (en f\u00e9vrier, une telle attaque a permis d'ex\u00e9cuter du code sur serveurs<\/a> PayPal, Microsoft, Apple, Netflix, Uber et encore 30 autres entreprises). <\/p>\n

De plus, en raison de la recrudescence des cas de prise de contr\u00f4le des d\u00e9p\u00f4ts de grands projets et de la propagation de code malveillant par la compromission des comptes des d\u00e9veloppeurs, GitHub a d\u00e9cid\u00e9 d'introduire une authentification \u00e0 deux facteurs obligatoire. Ce changement entrera en vigueur au premier trimestre de 2022 et s'appliquera aux mainteneurs et aux administrateurs de paquets figurant sur la liste des plus populaires. Il est \u00e9galement pr\u00e9vu une modernisation de l'infrastructure, o\u00f9 une surveillance et une analyse automatis\u00e9es des nouvelles versions des paquets seront mises en place pour d\u00e9tecter rapidement les modifications malveillantes. <\/p>\n

Rappelons qu'en vertu d'une \u00e9tude r\u00e9alis\u00e9e en 2020, seulement 9,27 % des mainteneurs de paquets utilisent l'authentification \u00e0 deux facteurs pour prot\u00e9ger l'acc\u00e8s, et dans 13,37 % des cas, lors de l'enregistrement de nouveaux comptes, les d\u00e9veloppeurs ont tent\u00e9 de r\u00e9utiliser des mots de passe compromis figurant dans des fuites de mots de passe connues. Au cours de la v\u00e9rification de la solidit\u00e9 des mots de passe utilis\u00e9s, il a \u00e9t\u00e9 possible d'acc\u00e9der \u00e0 12 % des comptes sur NPM (13 % des paquets) en raison de l'utilisation de mots de passe pr\u00e9visibles et triviaux, tels que \u00ab 123456 \u00bb. Parmi les comptes probl\u00e9matiques se trouvaient 4 comptes d'utilisateurs issus des 20 paquets les plus populaires, 13 comptes dont les paquets ont \u00e9t\u00e9 t\u00e9l\u00e9charg\u00e9s plus de 50 millions de fois par mois, 40 ayant plus de 10 millions de t\u00e9l\u00e9chargements par mois et 282 avec plus de 1 million de t\u00e9l\u00e9chargements par mois. Compte tenu du t\u00e9l\u00e9chargement des modules par cha\u00eenes de d\u00e9pendances, la compromission de comptes peu fiables aurait pu affecter jusqu'\u00e0 52 % de tous les modules sur NPM.
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f GitHub \u0440\u0430\u0441\u043a\u0440\u044b\u043b\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0434\u0432\u0443\u0445 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430\u0445 \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u043e\u0432 NPM. 2 \u043d\u043e\u044f\u0431\u0440\u044f \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (Kajetan Grzybowski \u0438 Maciej Piechota) \u0432 \u0440\u0430\u043c\u043a\u0430\u0445 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u044b Bug Bounty \u0441\u043e\u043e\u0431\u0449\u0438\u043b\u0438 \u043e \u043d\u0430\u043b\u0438\u0447\u0438\u0438 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 NPM \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0435\u0439 \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u0442\u044c \u043d\u043e\u0432\u0443\u044e \u0432\u0435\u0440\u0441\u0438\u044e \u043b\u044e\u0431\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430, \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044f \u0434\u043b\u044f \u044d\u0442\u043e\u0433\u043e \u0441\u0432\u043e\u044e \u0443\u0447\u0451\u0442\u043d\u0443\u044e \u0437\u0430\u043f\u0438\u0441\u044c, \u043d\u0435 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0438\u0440\u043e\u0432\u0430\u043d\u043d\u0443\u044e \u0434\u043b\u044f \u0432\u044b\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u044f \u043f\u043e\u0434\u043e\u0431\u043d\u044b\u0445 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0439. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0431\u044b\u043b\u0430 \u0432\u044b\u0437\u0432\u0430\u043d\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-102300","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vuln\u00e9rabilit\u00e9 permettant de publier une mise \u00e0 jour pour n'importe quel paquet dans le d\u00e9p\u00f4t NPM | ProHoster","description":"GitHub a r\u00e9v\u00e9l\u00e9 des informations sur deux incidents dans l'infrastructure du d\u00e9p\u00f4t de paquets NPM.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0432\u0448\u0430\u044f \u0432\u044b\u043f\u0443\u0441\u0442\u0438\u0442\u044c \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043b\u044f \u043b\u044e\u0431\u043e\u0433\u043e \u043f\u0430\u043a\u0435\u0442\u0430 \u0432 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u0438 NPM | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f GitHub \u0440\u0430\u0441\u043a\u0440\u044b\u043b\u0430 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e \u043e \u0434\u0432\u0443\u0445 \u0438\u043d\u0446\u0438\u0434\u0435\u043d\u0442\u0430\u0445 \u0432 \u0438\u043d\u0444\u0440\u0430\u0441\u0442\u0440\u0443\u043a\u0442\u0443\u0440\u0435 \u0440\u0435\u043f\u043e\u0437\u0438\u0442\u043e\u0440\u0438\u044f \u043f\u0430\u043a\u0435\u0442\u043e\u0432 NPM.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-11-16T19:36:39+00:00","article:modified_time":"2021-11-16T19:36:39+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"102300","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-11-16 19:37:47","updated":"2022-10-03 22:09:30","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/102300","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=102300"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/102300\/revisions"}],"predecessor-version":[{"id":164408,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/102300\/revisions\/164408"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=102300"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=102300"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=102300"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}