פגיעות במאגר NPM המאפשרת הוספת מתחזק ללא אישור

זוהתה בעיית אבטחה במאגר החבילות של NPM המאפשרת לבעל החבילה להוסיף כל משתמש כמתחזק מבלי לקבל הסכמה מאותו משתמש ומבלי לקבל מידע על הפעולה שננקטה. כדי להחמיר את הבעיה, ברגע שצד שלישי התווסף כמתחזק, המחבר המקורי של החבילה יכול להסיר את עצמו מרשימת המתחזקים, ולהשאיר את הצד השלישי כאדם האחראי היחיד לחבילה.

היוצרים של חבילות זדוניות עלולים לנצל את הבעיה כדי להוסיף מפתחים ידועים או חברות גדולות למספר המתחזקים על מנת להגביר את אמון המשתמשים וליצור אשליה שמפתחים מכובדים אחראים לחבילה, למרות שלמעשה הם אין להם שום קשר לזה ואפילו לא יודעים על קיומו. לדוגמה, תוקף יכול לפרסם חבילה זדונית, לשנות את המתחזק ולהזמין משתמשים לבדוק פיתוח חדש מחברה גדולה. הפגיעות עלולה לשמש גם כדי להכתים את המוניטין של מפתחים מסוימים, ולהציג אותם כיוזמים של פעולות מפוקפקות ופעולות זדוניות.

GitHub קיבלה הודעה על הבעיה ב-10 בפברואר ותיקן את הבעיה עבור npmjs.com ב-26 באפריל על ידי דרישה מהמשתמשים להסכים להצטרף לפרויקט אחר. מפתחים של מספר רב של חבילות NPM מוזמנים לבדוק ברשימת החבילות שלהם כריכות שנוספו ללא הסכמתם.

מקור: OpenNet.ru