{"id":103914,"date":"2022-04-29T15:36:47","date_gmt":"2022-04-29T13:36:47","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya"},"modified":"2022-04-29T15:36:47","modified_gmt":"2022-04-29T13:36:47","slug":"uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-repozitorii-npm-pozvolyayushhaya-dobavit-soprovozhdayushhego-bez-podtverzhdeniya","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans le d\u00e9p\u00f4t NPM permettant d'ajouter un mainteneur sans confirmation","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Un probl\u00e8me de s\u00e9curit\u00e9 a \u00e9t\u00e9 identifi\u00e9 dans le d\u00e9p\u00f4t de paquets NPM, permettant au propri\u00e9taire d'un paquet d'ajouter n'importe quel utilisateur en tant que contributeur, sans obtenir leur consentement ni les informer de cette action. Ce probl\u00e8me est aggrav\u00e9 par le fait que, une fois qu'un utilisateur tiers est ajout\u00e9 en tant que contributeur, l'auteur initial du paquet peut se retirer de la liste des contributeurs, laissant l'utilisateur tiers en tant que seul responsable du paquet. <\/p>\n
Les cr\u00e9ateurs de paquets malveillants pourraient exploiter ce probl\u00e8me pour ajouter des d\u00e9veloppeurs connus ou de grandes entreprises en tant que contributeurs afin d'accro\u00eetre la confiance des utilisateurs et de cr\u00e9er l'illusion que des d\u00e9veloppeurs respect\u00e9s sont responsables du paquet, alors qu'ils n'ont en r\u00e9alit\u00e9 aucun lien avec celui-ci et qu'ils ne sont m\u00eame pas au courant de son existence. Par exemple, un attaquant pourrait publier un paquet malveillant, changer de contributeur et inviter les utilisateurs \u00e0 tester un nouveau d\u00e9veloppement d'une grande entreprise. La vuln\u00e9rabilit\u00e9 pourrait \u00e9galement \u00eatre utilis\u00e9e pour ternir la r\u00e9putation de certains d\u00e9veloppeurs, les pr\u00e9sentant comme les initiateurs d'actions douteuses et d'activit\u00e9s malveillantes. <\/p>\n
La soci\u00e9t\u00e9 GitHub a \u00e9t\u00e9 inform\u00e9e du probl\u00e8me le 10 f\u00e9vrier et l\u2019a r\u00e9solu sur npmjs.com le 26 avril en introduisant une confirmation obligatoire du consentement des utilisateurs pour rejoindre un autre projet. Les d\u00e9veloppeurs d'un grand nombre de paquets NPM sont encourag\u00e9s \u00e0 v\u00e9rifier s'il n'existe pas de liaisons ajout\u00e9es \u00e0 leurs paquets sans leur consentement. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"