확인 없이 관리자를 추가할 수 있는 NPM 저장소의 취약점

NPM 패키지 저장소에서 보안 문제가 확인되었습니다. 이를 통해 패키지 소유자는 해당 사용자의 동의를 얻지 않고 취해진 조치에 대한 알림 없이 모든 사용자를 관리자로 추가할 수 있습니다. 문제를 더욱 복잡하게 만드는 것은 일단 제XNUMX자가 관리자로 추가되면 패키지의 원래 작성자가 관리자 목록에서 자신을 제거하고 제XNUMX자가 패키지에 대한 책임을 지는 유일한 사람이 되도록 남겨둘 수 있다는 것입니다.

이 문제는 악성 패키지 제작자가 잘 알려진 개발자나 대기업을 관리자 수에 추가하여 사용자 신뢰를 높이고 존경받는 개발자가 패키지에 대한 책임이 있다는 착각을 불러일으킬 수 있다는 점을 악용할 수 있습니다. 그것과 아무 관련이 없으며 그것의 존재에 대해서도 모릅니다. 예를 들어, 공격자는 악성 패키지를 게시하고, 관리자를 변경하고, 대기업의 새로운 개발을 테스트하도록 사용자를 초대할 수 있습니다. 또한 이 취약점은 특정 개발자의 평판을 손상시켜 이들이 의심스러운 행동과 악의적인 행동의 시작자로 보이게 하는 데 사용될 수도 있습니다.

GitHub는 10월 26일에 이 문제에 대해 통보받았고 XNUMX월 XNUMX일에 사용자가 다른 프로젝트에 참여하는 데 동의하도록 요구하여 npmjs.com의 문제를 해결했습니다. 다수의 NPM 패키지 개발자는 자신의 동의 없이 추가된 바인딩이 있는지 패키지 목록을 확인하는 것이 좋습니다.

출처 : opennet.ru