შეტევა NPM-ზე, რომელიც საშუალებას გაძლევთ განსაზღვროთ პაკეტების არსებობა კერძო საცავებში

NPM-ში გამოვლინდა ხარვეზი, რომელიც საშუალებას გაძლევთ დაადგინოთ პაკეტების არსებობა დახურულ საცავებში. პრობლემა გამოწვეულია სხვადასხვა რეაგირების დროით, როდესაც მოითხოვეთ არსებული და არარსებული პაკეტი მესამე მხარისგან, რომელსაც არ აქვს წვდომა საცავზე. თუ კერძო საცავებში არ არის წვდომა რომელიმე პაკეტზე, registry.npmjs.org სერვერი უბრუნებს შეცდომას კოდით „404“, მაგრამ თუ არსებობს პაკეტი მოთხოვნილი სახელით, შეცდომა გამოდის შესამჩნევი დაგვიანებით. თავდამსხმელს შეუძლია გამოიყენოს ეს ფუნქცია პაკეტის არსებობის დასადგენად პაკეტების სახელების ლექსიკონების გამოყენებით.

პაკეტების სახელების განსაზღვრა კერძო საცავებში შეიძლება საჭირო გახდეს დამოკიდებულების შერევის შეტევის შესასრულებლად, რომელიც მანიპულირებს დამოკიდებულების სახელების გადაკვეთაზე საჯარო და შიდა საცავებში. იმის ცოდნა, თუ რომელი შიდა NPM პაკეტებია წარმოდგენილი კორპორატიულ საცავებში, თავდამსხმელს შეუძლია განათავსოს პაკეტები იგივე სახელებით და უფრო ახალი ვერსიის ნომრებით საჯარო NPM საცავში. თუ ასამბლეის დროს შიდა ბიბლიოთეკები ცალსახად არ არის დაკავშირებული მათ საცავთან პარამეტრებში, npm პაკეტის მენეჯერი ჩათვლის საჯარო საცავს უფრო პრიორიტეტად და ჩამოტვირთავს თავდამსხმელის მიერ მომზადებულ პაკეტს.

GitHub-ს ეცნობა პრობლემის შესახებ მარტში, მაგრამ უარი თქვა თავდასხმისგან დაცვის დამატებაზე, არქიტექტურული შეზღუდვების მოტივით. კომპანიებს, რომლებიც იყენებენ კერძო საცავებს, რეკომენდირებულია პერიოდულად შეამოწმონ საჯარო საცავში გადაფარვითი სახელების გამოჩენა ან შექმნან სათაურები მათი სახელით იმ სახელებით, რომლებიც იმეორებენ პაკეტების სახელებს კერძო საცავებში, რათა თავდამსხმელებმა ვერ განათავსონ თავიანთი პაკეტები გადაფარვის სახელებით.

წყარო: opennet.ru