એક નબળાઈ કે જે NPM રીપોઝીટરીમાં કોઈપણ પેકેજ માટે અપડેટ રિલીઝ કરવાની મંજૂરી આપે છે

GitHub એ તેના NPM પેકેજ રીપોઝીટરી ઈન્ફ્રાસ્ટ્રક્ચરમાં બે ઘટનાઓ જાહેર કરી છે. 2 નવેમ્બરના રોજ, તૃતીય-પક્ષ સુરક્ષા સંશોધકો (કેજેટન ગ્રઝીબોવસ્કી અને મેસીજ પીકોટા), બગ બાઉન્ટી પ્રોગ્રામના ભાગ રૂપે, NPM ભંડારમાં નબળાઈની હાજરીની જાણ કરી જે તમને તમારા એકાઉન્ટનો ઉપયોગ કરીને કોઈપણ પેકેજનું નવું સંસ્કરણ પ્રકાશિત કરવાની મંજૂરી આપે છે, જે આવા અપડેટ્સ કરવા માટે અધિકૃત નથી.

NPM ને ​​વિનંતીઓ પર પ્રક્રિયા કરતી માઇક્રોસર્વિસિસના કોડમાં ખોટી પરવાનગી તપાસને કારણે નબળાઈ આવી હતી. અધિકૃતતા સેવાએ વિનંતીમાં પસાર કરેલા ડેટાના આધારે પેકેજ પરવાનગી તપાસો કરી હતી, પરંતુ અન્ય સેવા કે જેણે રીપોઝીટરીમાં અપડેટ અપલોડ કર્યું હતું તેણે અપલોડ કરેલ પેકેજની મેટાડેટા સામગ્રીના આધારે પ્રકાશિત કરવા માટે પેકેજ નક્કી કર્યું હતું. આમ, હુમલાખોર તેના પૅકેજ માટે અપડેટના પ્રકાશન માટે વિનંતી કરી શકે છે, જેની તેની પાસે ઍક્સેસ છે, પરંતુ તે પૅકેજમાં જ બીજા પૅકેજ વિશેની માહિતીનો ઉલ્લેખ કરે છે, જે આખરે અપડેટ કરવામાં આવશે.

નબળાઈની જાણ થયાના 6 કલાક પછી સમસ્યાનું નિરાકરણ કરવામાં આવ્યું હતું, પરંતુ NPM માં ટેલિમેટ્રી લોગ કવર કરતાં વધુ સમય સુધી નબળાઈ હાજર હતી. GitHub દાવો કરે છે કે સપ્ટેમ્બર 2020 થી આ નબળાઈનો ઉપયોગ કરીને હુમલાના કોઈ નિશાન જોવા મળ્યા નથી, પરંતુ એવી કોઈ ગેરેંટી નથી કે સમસ્યાનો પહેલાં શોષણ કરવામાં આવ્યો નથી.

બીજી ઘટના 26 ઓક્ટોબરે બની હતી. replicate.npmjs.com સેવાના ડેટાબેઝ સાથેના તકનીકી કાર્ય દરમિયાન, બાહ્ય વિનંતીઓ માટે સુલભ ડેટાબેઝમાં ગોપનીય ડેટાની હાજરી જાહેર કરવામાં આવી હતી, જે ફેરફાર લોગમાં ઉલ્લેખિત આંતરિક પેકેજોના નામો વિશેની માહિતી જાહેર કરે છે. આવા નામો વિશેની માહિતીનો ઉપયોગ આંતરિક પ્રોજેક્ટ્સ પર નિર્ભરતાના હુમલાઓ કરવા માટે થઈ શકે છે (ફેબ્રુઆરીમાં, સમાન હુમલાથી પેપાલ, માઇક્રોસોફ્ટ, એપલ, નેટફ્લિક્સ, ઉબેર અને અન્ય 30 કંપનીઓના સર્વર પર કોડ ચલાવવાની મંજૂરી આપવામાં આવી હતી).

આ ઉપરાંત, મોટા પ્રોજેક્ટ્સના રિપોઝીટરીઝને હાઇજેક કરવાના અને દૂષિત કોડને ચેડા કરનારા ડેવલપર એકાઉન્ટ્સ દ્વારા પ્રમોટ કરવાના કેસોની વધતી સંખ્યાને કારણે, GitHub એ ફરજિયાત દ્વિ-પરિબળ પ્રમાણીકરણ રજૂ કરવાનું નક્કી કર્યું છે. આ ફેરફાર 2022 ના પ્રથમ ત્રિમાસિક ગાળામાં અમલમાં આવશે અને સૌથી લોકપ્રિય સૂચિમાં સમાવિષ્ટ પેકેજોના જાળવણીકારો અને સંચાલકોને લાગુ થશે. વધુમાં, તે ઇન્ફ્રાસ્ટ્રક્ચરના આધુનિકીકરણ વિશે જાણ કરવામાં આવે છે, જેમાં દૂષિત ફેરફારોની વહેલી શોધ માટે પેકેજોની નવી આવૃત્તિઓનું સ્વચાલિત નિરીક્ષણ અને વિશ્લેષણ રજૂ કરવામાં આવશે.

ચાલો યાદ રાખીએ કે, 2020 માં હાથ ધરવામાં આવેલા અભ્યાસ મુજબ, ફક્ત 9.27% ​​પેકેજ જાળવણીકારો ઍક્સેસને સુરક્ષિત રાખવા માટે દ્વિ-પરિબળ પ્રમાણીકરણનો ઉપયોગ કરે છે, અને 13.37% કિસ્સાઓમાં, જ્યારે નવા એકાઉન્ટની નોંધણી કરવામાં આવે છે, ત્યારે વિકાસકર્તાઓએ ચેડા થયેલા પાસવર્ડનો ફરીથી ઉપયોગ કરવાનો પ્રયાસ કર્યો હતો જે જાણીતા પાસવર્ડ લીક. પાસવર્ડ સુરક્ષા સમીક્ષા દરમિયાન, “12” જેવા અનુમાનિત અને નજીવા પાસવર્ડના ઉપયોગને કારણે 13% NPM એકાઉન્ટ્સ (123456% પેકેજો) ઍક્સેસ કરવામાં આવ્યા હતા. ટોચના 4 સૌથી વધુ લોકપ્રિય પેકેજોમાંથી 20 વપરાશકર્તા ખાતાઓ, દર મહિને 13 મિલિયનથી વધુ વખત ડાઉનલોડ થયેલા પેકેજો સાથેના 50 એકાઉન્ટ્સ, દર મહિને 40 મિલિયનથી વધુ ડાઉનલોડ્સ સાથે 10 અને દર મહિને 282 મિલિયનથી વધુ ડાઉનલોડ્સ સાથે 1 એકાઉન્ટ્સ સમસ્યારૂપ હતા. નિર્ભરતાઓની સાંકળ સાથે મોડ્યુલોના લોડિંગને ધ્યાનમાં લેતા, અવિશ્વસનીય એકાઉન્ટ્સનું સમાધાન NPM માં તમામ મોડ્યુલોના 52% સુધી અસર કરી શકે છે.

સોર્સ: opennet.ru