Az NPM csomagtárában biztonsági problémát fedeztek fel, amely lehetővé teszi a csomag tulajdonosának, hogy bármely felhasználót kísérőnek adjon hozzá, anélkül, hogy a felhasználó beleegyezését kérné, és anélkül, hogy tájékoztatná a végrehajtott akcióról. A probléma súlyosbodik, mivel a harmadik fél felhasználó hozzáadását követően az eredeti csomag szerzője eltávolíthatta magát a kísérők listájáról, így a harmadik fél maradt az egyetlen személy, aki a csomagért felelős.
A probléma lehetőséget adhatott rosszindulatú csomagok létrehozóinak arra, hogy neves fejlesztőket vagy nagyvállalatokat adjanak hozzá kísérőként, ezzel növelve a felhasználók bizalmát és teremtve az illúziót, hogy az elismert fejlesztők felelősek a csomagért, holott valójában nincs közük hozzá, és nem is tudnak a létezéséről. Például a támadó rosszindulatú csomagot helyezhetett el, megváltoztathatta a kísérőt, és meghívhatta a felhasználókat, hogy teszteljék egy nagyvállalat új fejlesztését. A sebezhetőséget arra is felhasználták, hogy bizonyos fejlesztők hírnevét megfeketítsék, bemutatva őket gyanús akciók és rosszindulatú cselekedetek kezdeményezőjeként.
A GitHub vállalatot február 10-én értesítették a problémáról, és április 26-án orvosolták az npmjs.com-on egy kötelező megerősítési lehetőség bevezetésével, amely megköveteli a felhasználóktól, hogy beleegyezésüket adják egy másik projekthez való csatlakozáshoz. A nagyszámú NPM csomag fejlesztőinek ajánlották, hogy ellenőrizzék, van-e olyan csomag, amelyhez hozzájárulások kerültek, anélkül, hogy a beleegyezésüket kérnék.
Forrás: opennet.ru
