מתקפה על NPM המאפשרת לקבוע נוכחות של חבילות במאגרים פרטיים

זוהה פגם ב-NPM המאפשר לזהות קיומן של חבילות במאגרים סגורים. הבעיה נגרמת על ידי זמני תגובה שונים בעת בקשה לחבילה קיימת ולא קיימת מצד שלישי שאין לו גישה למאגר. אם אין גישה לחבילות כלשהן במאגרים פרטיים, שרת registry.npmjs.org מחזיר שגיאה עם הקוד "404", אך אם קיימת חבילה עם השם המבוקש, השגיאה מונפקת באיחור ניכר. תוקף יכול להשתמש בתכונה זו כדי לקבוע את נוכחותה של חבילה על ידי חיפוש שמות חבילות באמצעות מילונים.

קביעת שמות חבילות במאגרים פרטיים עשויה להיות נחוצה כדי לבצע התקפת עירוב תלות המבצעת מניפולציות על ההצטלבות של שמות תלות במאגרים ציבוריים ופנימיים. בידיעה אילו חבילות NPM פנימיות קיימות במאגרים ארגוניים, תוקף יכול למקם חבילות עם אותם שמות ומספרי גרסאות חדשים יותר במאגר ה-NPM הציבורי. אם במהלך ההרכבה הספריות הפנימיות אינן מקושרות במפורש למאגר שלהן בהגדרות, מנהל החבילות של npm ישקול את המאגר הציבורי בעדיפות גבוהה יותר ויוריד את החבילה שהוכנה על ידי התוקף.

GitHub קיבלה הודעה על הבעיה במרץ, אך סירבה להוסיף הגנה מפני המתקפה, תוך ציון מגבלות ארכיטקטוניות. לחברות המשתמשות במאגרים פרטיים מומלץ לבדוק מעת לעת הופעתם של שמות חופפים במאגר הציבורי או ליצור מטעמן בדלים עם שמות שחוזרים על שמות החבילות במאגרים פרטיים, כדי שתוקפים לא יוכלו למקם את החבילות שלהם עם שמות חופפים.

מקור: OpenNet.ru