ຊ່ອງໂຫວ່ທີ່ອະນຸຍາດໃຫ້ການອັບເດດຖືກປ່ອຍອອກມາສໍາລັບແພັກເກັດໃດນຶ່ງໃນບ່ອນເກັບຂໍ້ມູນ NPM

GitHub ໄດ້ເປີດເຜີຍສອງເຫດການໃນໂຄງສ້າງພື້ນຖານຂອງບ່ອນເກັບມ້ຽນຊຸດ NPM ຂອງຕົນ. ໃນວັນທີ 2 ພະຈິກ, ນັກຄົ້ນຄວ້າດ້ານຄວາມປອດໄພພາກສ່ວນທີສາມ (Kajetan Grzybowski ແລະ Maciej Piechota), ເປັນສ່ວນຫນຶ່ງຂອງໂຄງການ Bug Bounty, ລາຍງານການປະກົດຕົວຂອງຊ່ອງໂຫວ່ຢູ່ໃນບ່ອນເກັບຂໍ້ມູນ NPM ທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດເຜີຍແຜ່ສະບັບໃຫມ່ຂອງຊຸດໃດກໍ່ຕາມໂດຍໃຊ້ບັນຊີຂອງທ່ານ, ເຊິ່ງບໍ່ໄດ້ຮັບອະນຸຍາດໃຫ້ເຮັດການປັບປຸງດັ່ງກ່າວ.

ຊ່ອງໂຫວ່ເກີດມາຈາກການກວດສອບການອະນຸຍາດບໍ່ຖືກຕ້ອງໃນລະຫັດຂອງ microservices ທີ່ດໍາເນີນການຮ້ອງຂໍ NPM. ບໍລິການການອະນຸຍາດປະຕິບັດການກວດສອບການອະນຸຍາດແພັກເກັດໂດຍອີງໃສ່ຂໍ້ມູນທີ່ຜ່ານໃນຄໍາຮ້ອງຂໍ, ແຕ່ບໍລິການອື່ນທີ່ອັບໂຫລດການອັບເດດໄປຫາບ່ອນເກັບມ້ຽນໄດ້ກໍານົດແພັກເກັດທີ່ຈະເຜີຍແຜ່ໂດຍອີງໃສ່ເນື້ອໃນ metadata ຂອງແພັກເກັດທີ່ອັບໂຫລດ. ດັ່ງນັ້ນ, ຜູ້ໂຈມຕີສາມາດຮ້ອງຂໍໃຫ້ມີການຈັດພິມການອັບເດດສໍາລັບແພັກເກັດຂອງລາວ, ທີ່ລາວມີການເຂົ້າເຖິງ, ແຕ່ໃຫ້ລະບຸຂໍ້ມູນໃນຊຸດຂອງຕົວມັນເອງກ່ຽວກັບຊຸດອື່ນ, ເຊິ່ງໃນທີ່ສຸດຈະຖືກປັບປຸງ.

ບັນຫາດັ່ງກ່າວໄດ້ຖືກແກ້ໄຂ 6 ຊົ່ວໂມງຫຼັງຈາກລາຍງານຄວາມອ່ອນແອ, ແຕ່ຈຸດອ່ອນແມ່ນມີຢູ່ໃນ NPM ດົນກວ່າການປົກຫຸ້ມຂອງບັນທຶກທາງໄກ. GitHub ອ້າງວ່າບໍ່ມີຮ່ອງຮອຍຂອງການໂຈມຕີໂດຍໃຊ້ຊ່ອງໂຫວ່ນີ້ຕັ້ງແຕ່ເດືອນກັນຍາ 2020, ແຕ່ບໍ່ມີການຮັບປະກັນວ່າບັນຫາດັ່ງກ່າວບໍ່ໄດ້ຖືກຂູດຮີດມາກ່ອນ.

ເຫດການທີສອງເກີດຂຶ້ນໃນວັນທີ 26 ຕຸລາ. ໃນລະຫວ່າງການເຮັດວຽກດ້ານວິຊາການກັບຖານຂໍ້ມູນຂອງການບໍລິການ replicate.npmjs.com, ການປະກົດຕົວຂອງຂໍ້ມູນລັບໃນຖານຂໍ້ມູນທີ່ສາມາດເຂົ້າເຖິງການຮ້ອງຂໍພາຍນອກໄດ້ຖືກເປີດເຜີຍ, ເປີດເຜີຍຂໍ້ມູນກ່ຽວກັບຊື່ຂອງແພັກເກັດພາຍໃນທີ່ໄດ້ກ່າວໄວ້ໃນບັນທຶກການປ່ຽນແປງ. ຂໍ້ມູນກ່ຽວກັບຊື່ດັ່ງກ່າວສາມາດຖືກນໍາໃຊ້ເພື່ອປະຕິບັດການໂຈມຕີການເພິ່ງພາອາໄສໃນໂຄງການພາຍໃນ (ໃນເດືອນກຸມພາ, ການໂຈມຕີທີ່ຄ້າຍຄືກັນອະນຸຍາດໃຫ້ລະຫັດຖືກປະຕິບັດໃນເຄື່ອງແມ່ຂ່າຍຂອງ PayPal, Microsoft, Apple, Netflix, Uber ແລະ 30 ບໍລິສັດອື່ນໆ).

ນອກຈາກນັ້ນ, ເນື່ອງຈາກຈໍານວນກໍລະນີທີ່ເພີ່ມຂຶ້ນຂອງ repositories ຂອງໂຄງການຂະຫນາດໃຫຍ່ຖືກ hijacked ແລະ malicious code ໄດ້ຖືກສົ່ງເສີມໂດຍຜ່ານການ compromising ບັນຊີນັກພັດທະນາ, GitHub ໄດ້ຕັດສິນໃຈທີ່ຈະແນະນໍາການຢືນຢັນສອງປັດໃຈບັງຄັບ. ການປ່ຽນແປງຈະມີຜົນບັງຄັບໃຊ້ໃນໄຕມາດທໍາອິດຂອງປີ 2022 ແລະຈະນໍາໃຊ້ກັບຜູ້ຮັກສາແລະຜູ້ບໍລິຫານຂອງຊຸດລວມຢູ່ໃນບັນຊີລາຍຊື່ທີ່ນິຍົມຫຼາຍທີ່ສຸດ. ນອກຈາກນັ້ນ, ມັນໄດ້ຖືກລາຍງານກ່ຽວກັບຄວາມທັນສະໄຫມຂອງພື້ນຖານໂຄງລ່າງ, ເຊິ່ງໃນນັ້ນການຕິດຕາມອັດຕະໂນມັດແລະການວິເຄາະຂອງຊຸດຮຸ່ນໃຫມ່ຈະຖືກນໍາສະເຫນີສໍາລັບການກວດພົບການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍກ່ອນໄວອັນຄວນ.

ຈື່ໄວ້ວ່າ, ອີງຕາມການສຶກສາທີ່ດໍາເນີນໃນປີ 2020, ມີພຽງແຕ່ 9.27% ​​ຂອງຜູ້ຮັກສາຊຸດໃຊ້ການກວດສອບສອງປັດໃຈເພື່ອປົກປ້ອງການເຂົ້າເຖິງ, ແລະໃນ 13.37% ຂອງກໍລະນີ, ເມື່ອລົງທະບຽນບັນຊີໃຫມ່, ນັກພັດທະນາໄດ້ພະຍາຍາມໃຊ້ລະຫັດຜ່ານທີ່ຖືກທໍາລາຍຄືນໃຫມ່ທີ່ປາກົດຢູ່ໃນ. ການຮົ່ວໄຫລລະຫັດຜ່ານທີ່ຮູ້ຈັກ. ໃນລະຫວ່າງການກວດສອບຄວາມປອດໄພລະຫັດຜ່ານ, 12% ຂອງບັນຊີ NPM (13% ຂອງແພັກເກັດ) ໄດ້ຖືກເຂົ້າເຖິງເນື່ອງຈາກການໃຊ້ລະຫັດຜ່ານທີ່ຄາດເດົາໄດ້ ແລະເລັກນ້ອຍເຊັ່ນ "123456." ໃນບັນດາບັນຫາທີ່ມີບັນຫາແມ່ນ 4 ບັນຊີຜູ້ໃຊ້ຈາກ 20 ແພກເກດທີ່ນິຍົມຫຼາຍທີ່ສຸດ, 13 ບັນຊີທີ່ມີແພັກເກັດດາວໂຫລດຫຼາຍກວ່າ 50 ລ້ານຄັ້ງຕໍ່ເດືອນ, 40 ມີຫຼາຍກວ່າ 10 ລ້ານດາວໂຫລດຕໍ່ເດືອນ, ແລະ 282 ມີຫຼາຍກວ່າ 1 ລ້ານດາວໂຫລດຕໍ່ເດືອນ. ການພິຈາລະນາການໂຫຼດຂອງໂມດູນຕາມລະບົບຕ່ອງໂສ້ການເພິ່ງພາອາໄສ, ການປະນີປະນອມຂອງບັນຊີທີ່ບໍ່ຫນ້າເຊື່ອຖືສາມາດສົ່ງຜົນກະທົບຕໍ່ເຖິງ 52% ຂອງໂມດູນທັງຫມົດໃນ NPM.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru