개인 리포지토리에 있는 패키지의 존재를 확인할 수 있는 NPM에 대한 공격

닫힌 저장소에 패키지가 있는지 감지할 수 있는 결함이 NPM에서 확인되었습니다. 이 문제는 저장소에 액세스할 수 없는 제404자에게 기존 패키지와 존재하지 않는 패키지를 요청할 때 응답 시간이 다르기 때문에 발생합니다. 프라이빗 리포지토리에 있는 패키지에 대한 액세스가 없으면 Registry.npmjs.org 서버는 "XNUMX" 코드와 함께 오류를 반환하지만, 요청한 이름의 패키지가 존재하는 경우 눈에 띄는 지연과 함께 오류가 발생합니다. 공격자는 이 기능을 사용하여 사전을 사용하여 패키지 이름을 검색함으로써 패키지의 존재를 확인할 수 있습니다.

공용 저장소와 내부 저장소에서 종속성 이름의 교차점을 조작하는 종속성 혼합 공격을 수행하려면 개인 저장소에서 패키지 이름을 확인해야 할 수 있습니다. 어떤 내부 NPM 패키지가 회사 리포지토리에 있는지 알면 공격자는 동일한 이름과 최신 버전 번호를 가진 패키지를 공용 NPM 리포지토리에 배치할 수 있습니다. 조립하는 동안 내부 라이브러리가 설정에서 저장소에 명시적으로 연결되지 않은 경우 npm 패키지 관리자는 공용 저장소를 더 높은 우선 순위로 간주하고 공격자가 준비한 패키지를 다운로드합니다.

GitHub는 XNUMX월에 이 문제에 대한 통보를 받았지만 아키텍처 제한을 이유로 공격에 대한 보호 추가를 거부했습니다. 프라이빗 리포지토리를 사용하는 기업은 퍼블릭 리포지토리에서 중복되는 이름이 나타나는지 주기적으로 확인하거나, 프라이빗 리포지토리에 있는 패키지 이름을 반복하는 이름으로 자사를 대신해 스텁을 생성하여 공격자가 중복된 이름으로 패키지를 배치할 수 없도록 하는 것이 좋습니다.

출처 : opennet.ru