{"id":102300,"date":"2021-11-16T21:36:39","date_gmt":"2021-11-16T19:36:39","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm"},"modified":"2021-11-16T21:36:39","modified_gmt":"2021-11-16T19:36:39","slug":"uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-pozvolyavshaya-vypustit-obnovlenie-dlya-lyubogo-paketa-v-repozitorii-npm","title":{"rendered":"Una vulnerabilit\u00e0 che consentiva di rilasciare un aggiornamento per qualsiasi pacchetto nel repository NPM.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub ha rivelato due incidenti nella sua infrastruttura di repository per pacchetti NPM. Il 2 novembre, ricercatori di sicurezza esterni (Kajetan Grzybowski e Maciej Piechota) hanno segnalato, nell'ambito del programma Bug Bounty, la presenza di una vulnerabilit\u00e0 nel repository NPM che consente di pubblicare una nuova versione di qualsiasi pacchetto utilizzando un proprio account non autorizzato per effettuare tali aggiornamenti. <\/p>\n
La vulnerabilit\u00e0 \u00e8 stata causata da una verifica impropria delle autorizzazioni nel codice dei microservizi che gestiscono le richieste a NPM. Il servizio di autorizzazione verificava i diritti di accesso ai pacchetti sulla base dei dati trasmessi nella richiesta, ma un altro servizio, che carica gli aggiornamenti nel repository, determinava il pacchetto da pubblicare sulla base del contenuto dei metadati nel pacchetto caricato. Cos\u00ec, un aggressore poteva richiedere la pubblicazione di un aggiornamento per il proprio pacchetto, al quale aveva accesso, ma specificare nel pacchetto stesso le informazioni riguardanti un altro pacchetto, che sarebbe stato quello effettivamente aggiornato. <\/p>\n
Il problema \u00e8 stato risolto sei ore dopo la segnalazione della vulnerabilit\u00e0, ma la vulnerabilit\u00e0 era presente in NPM da pi\u00f9 tempo rispetto a quanto registrato dai log di telemetria. GitHub afferma che non sono state registrate prove di attacchi che sfruttano questa vulnerabilit\u00e0 dal settembre 2020, ma non ci sono garanzie che il problema non sia stato sfruttato prima. <\/p>\n
Il secondo incidente \u00e8 avvenuto il 26 ottobre. Durante i lavori tecnici sul database del servizio replicate.npmjs.com \u00e8 stata rilevata la presenza di dati riservati accessibili tramite richieste esterne, che rivelano informazioni sui nomi dei pacchetti interni menzionati nel log delle modifiche. Le informazioni su tali nomi potrebbero essere utilizzate per attaccare le dipendenze nei progetti interni (a febbraio, un attacco simile ha consentito l'esecuzione di codice su server<\/a> PayPal, Microsoft, Apple, Netflix, Uber e altre 30 aziende). <\/p>\n