एक भेद्यता जिसने एनपीएम रिपॉजिटरी में किसी भी पैकेज के लिए अपडेट जारी करने की अनुमति दी

GitHub ने अपने NPM पैकेज रिपॉजिटरी इंफ्रास्ट्रक्चर में दो घटनाओं का खुलासा किया है। 2 नवंबर को, बग बाउंटी कार्यक्रम के हिस्से के रूप में, तीसरे पक्ष के सुरक्षा शोधकर्ताओं (काजेटन ग्रेज़ीबोव्स्की और मैकिएज पाइचोटा) ने एनपीएम रिपॉजिटरी में एक भेद्यता की उपस्थिति की सूचना दी, जो आपको अपने खाते का उपयोग करके किसी भी पैकेज का नया संस्करण प्रकाशित करने की अनुमति देती है। जो ऐसे अपडेट करने के लिए अधिकृत नहीं है.

यह भेद्यता एनपीएम के अनुरोधों को संसाधित करने वाले माइक्रोसर्विसेज के कोड में गलत अनुमति जांच के कारण हुई थी। प्राधिकरण सेवा ने अनुरोध में दिए गए डेटा के आधार पर पैकेज अनुमति जांच की, लेकिन रिपॉजिटरी में अपडेट अपलोड करने वाली एक अन्य सेवा ने अपलोड किए गए पैकेज की मेटाडेटा सामग्री के आधार पर पैकेज को प्रकाशित करने के लिए निर्धारित किया। इस प्रकार, एक हमलावर अपने पैकेज के लिए एक अपडेट के प्रकाशन का अनुरोध कर सकता है, जिस तक उसकी पहुंच है, लेकिन पैकेज में ही किसी अन्य पैकेज के बारे में जानकारी निर्दिष्ट कर सकता है, जिसे अंततः अपडेट किया जाएगा।

भेद्यता की सूचना मिलने के 6 घंटे बाद समस्या को ठीक कर लिया गया था, लेकिन टेलीमेट्री लॉग कवर की तुलना में एनपीएम में भेद्यता लंबे समय तक मौजूद थी। GitHub का दावा है कि सितंबर 2020 के बाद से इस भेद्यता का उपयोग करके हमलों का कोई निशान नहीं मिला है, लेकिन इस बात की कोई गारंटी नहीं है कि समस्या का पहले फायदा नहीं उठाया गया है।

दूसरी घटना 26 अक्टूबर को हुई. प्रतिकृति.npmjs.com सेवा के डेटाबेस के साथ तकनीकी कार्य के दौरान, बाहरी अनुरोधों के लिए सुलभ डेटाबेस में गोपनीय डेटा की उपस्थिति का पता चला, जिससे परिवर्तन लॉग में उल्लिखित आंतरिक पैकेजों के नामों के बारे में जानकारी का पता चला। ऐसे नामों के बारे में जानकारी का उपयोग आंतरिक परियोजनाओं पर निर्भरता हमलों को अंजाम देने के लिए किया जा सकता है (फरवरी में, इसी तरह के हमले ने पेपाल, माइक्रोसॉफ्ट, एप्पल, नेटफ्लिक्स, उबर और 30 अन्य कंपनियों के सर्वर पर कोड को निष्पादित करने की अनुमति दी थी)।

इसके अलावा, बड़ी परियोजनाओं के रिपॉजिटरी को हाईजैक किए जाने और समझौता करने वाले डेवलपर खातों के माध्यम से दुर्भावनापूर्ण कोड को बढ़ावा देने के मामलों की बढ़ती संख्या के कारण, GitHub ने अनिवार्य दो-कारक प्रमाणीकरण शुरू करने का निर्णय लिया है। यह परिवर्तन 2022 की पहली तिमाही में प्रभावी होगा और सबसे लोकप्रिय सूची में शामिल पैकेजों के अनुरक्षकों और प्रशासकों पर लागू होगा। इसके अतिरिक्त, बुनियादी ढांचे के आधुनिकीकरण के बारे में भी बताया गया है, जिसमें दुर्भावनापूर्ण परिवर्तनों का शीघ्र पता लगाने के लिए पैकेजों के नए संस्करणों की स्वचालित निगरानी और विश्लेषण शुरू किया जाएगा।

आइए याद रखें कि, 2020 में किए गए एक अध्ययन के अनुसार, केवल 9.27% ​​​​पैकेज अनुरक्षक पहुंच की सुरक्षा के लिए दो-कारक प्रमाणीकरण का उपयोग करते हैं, और 13.37% मामलों में, नए खातों को पंजीकृत करते समय, डेवलपर्स ने दिखाई देने वाले समझौता किए गए पासवर्ड का पुन: उपयोग करने का प्रयास किया। ज्ञात पासवर्ड लीक. पासवर्ड सुरक्षा समीक्षा के दौरान, "12" जैसे पूर्वानुमानित और तुच्छ पासवर्ड के उपयोग के कारण 13% एनपीएम खातों (123456%) तक पहुंच प्राप्त की गई थी। समस्याग्रस्त लोगों में शीर्ष 4 सबसे लोकप्रिय पैकेजों में से 20 उपयोगकर्ता खाते थे, प्रति माह 13 मिलियन से अधिक डाउनलोड वाले पैकेज वाले 50 खाते, प्रति माह 40 मिलियन से अधिक डाउनलोड वाले 10 खाते, और प्रति माह 282 मिलियन से अधिक डाउनलोड वाले 1 खाते थे। निर्भरता की श्रृंखला के साथ मॉड्यूल की लोडिंग को ध्यान में रखते हुए, अविश्वसनीय खातों का समझौता एनपीएम में सभी मॉड्यूल के 52% तक को प्रभावित कर सकता है।

स्रोत: opennet.ru