NPM 저장소의 모든 패키지에 대해 업데이트가 릴리스되도록 허용하는 취약점

GitHub는 NPM 패키지 저장소 인프라에서 두 가지 사건을 공개했습니다. 2월 XNUMX일, Bug Bounty 프로그램의 일환으로 제XNUMX자 보안 연구원(Kajetan Grzybowski 및 Maciej Piechota)은 NPM 저장소에 귀하의 계정을 사용하여 모든 패키지의 새 버전을 게시할 수 있는 취약점이 있음을 보고했습니다. 그러한 업데이트를 수행할 권한이 없습니다.

이 취약점은 NPM에 대한 요청을 처리하는 마이크로서비스 코드의 잘못된 권한 확인으로 인해 발생했습니다. 인증 서비스는 요청에 전달된 데이터를 기반으로 패키지 권한 확인을 수행했지만 저장소에 업데이트를 업로드한 다른 서비스는 업로드된 패키지의 메타데이터 콘텐츠를 기반으로 게시할 패키지를 결정했습니다. 따라서 공격자는 액세스 권한이 있는 패키지에 대한 업데이트 게시를 요청할 수 있지만 결국 업데이트될 다른 패키지에 대한 정보를 패키지 자체에 지정할 수 있습니다.

이 문제는 취약점이 보고된 지 6시간 후에 수정되었지만 해당 취약점은 원격 분석 로그보다 오랫동안 NPM에 존재했습니다. GitHub에서는 2020년 XNUMX월 이후 이 취약점을 이용한 공격의 흔적이 없다고 주장하지만, 이전에 문제가 악용되지 않았다는 보장은 없습니다.

두 번째 사건은 26월 30일 발생했다. 복제.npmjs.com 서비스의 데이터베이스에 대한 기술 작업 중에 외부 요청에 액세스할 수 있는 데이터베이스에 기밀 데이터가 있다는 사실이 드러났고, 변경 로그에 언급된 내부 패키지 이름에 대한 정보가 드러났습니다. 이러한 이름에 대한 정보는 내부 프로젝트에 대한 종속성 공격을 수행하는 데 사용될 수 있습니다(XNUMX월에는 유사한 공격으로 PayPal, Microsoft, Apple, Netflix, Uber 및 기타 XNUMX개 회사의 서버에서 코드가 실행될 수 있었습니다).

또한 대규모 프로젝트의 리포지토리가 하이재킹되고 개발자 계정 손상을 통해 악성 코드가 홍보되는 사례가 증가함에 따라 GitHub는 의무적인 2022단계 인증을 도입하기로 결정했습니다. 이 변경 사항은 XNUMX년 XNUMX분기에 적용되며 가장 인기 있는 목록에 포함된 패키지의 관리자 및 관리자에게 적용됩니다. 또한, 악성 변경 사항을 조기에 감지하기 위해 새 버전의 패키지에 대한 자동화된 모니터링 및 분석이 도입되는 인프라 현대화에 대해서도 보고되었습니다.

2020년에 실시된 연구에 따르면 패키지 관리자 중 9.27%만이 액세스 보호를 위해 13.37단계 인증을 사용하고 있으며, 12%의 경우 새 계정을 등록할 때 개발자가 유출된 비밀번호를 재사용하려고 시도했다는 사실을 기억하세요. 알려진 비밀번호 유출. 비밀번호 보안 검토 과정에서 '13'과 같이 예측 가능하고 사소한 비밀번호를 사용하여 NPM 계정의 123456%(패키지의 4%)에 액세스한 것으로 나타났습니다. 문제가 발생한 계정 중에는 가장 인기 있는 상위 20개 패키지의 사용자 계정 13개, 패키지 다운로드가 월 50천만 이상인 계정 40개, 월 다운로드 10천만 이상인 계정이 282개, 월 다운로드 1만 이상인 계정이 52개였다. 종속성 체인을 따라 모듈을 로드하는 것을 고려하면 신뢰할 수 없는 계정이 손상되면 NPM의 모든 모듈 중 최대 XNUMX%에 영향을 미칠 수 있습니다.

출처 : opennet.ru