Ранливост што овозможи да се објави ажурирање за кој било пакет во складиштето NPM

GitHub откри два инциденти во инфраструктурата за складиште на пакети NPM. На 2 ноември, трети лица безбедносни истражувачи (Kajetan Grzybowski и Maciej Piechota), како дел од програмата Bug Bounty, пријавија присуство на ранливост во складиштето NPM што ви овозможува да објавите нова верзија на кој било пакет користејќи ја вашата сметка. кој не е овластен да врши такви ажурирања.

Ранливоста беше предизвикана од неточни проверки на дозволи во кодот на микросервисите кои ги обработуваат барањата до NPM. Услугата за овластување изврши проверки на дозволите на пакетот врз основа на податоците пренесени во барањето, но друга услуга што го постави ажурирањето во складиштето одреди пакетот да се објави врз основа на содржината на метаподатоците на поставениот пакет. Така, напаѓачот може да побара објавување на ажурирање за неговиот пакет, до кој има пристап, но во самиот пакет да наведе информации за друг пакет, кој на крајот би се ажурирал.

Проблемот беше поправен 6 часа по пријавувањето на ранливоста, но ранливоста беше присутна во NPM подолго отколку што покриваат дневниците за телеметрија. GitHub тврди дека немало траги од напади со користење на оваа ранливост од септември 2020 година, но не постои гаранција дека проблемот не бил експлоатиран претходно.

Вториот инцидент се случи на 26 октомври. При техничка работа со базата на податоци на услугата replicate.npmjs.com, откриено е присуство на доверливи податоци во базата на податоци достапни за надворешни барања, откривајќи информации за имињата на внатрешните пакети кои биле споменати во дневникот за промени. Информациите за таквите имиња може да се користат за извршување напади на зависност на внатрешни проекти (во февруари, сличен напад дозволи да се изврши код на серверите на PayPal, Microsoft, Apple, Netflix, Uber и 30 други компании).

Покрај тоа, поради зголемениот број случаи на киднапирани складишта на големи проекти и промовиран злонамерен код преку компромитирачки сметки на програмери, GitHub одлучи да воведе задолжителна двофакторна автентикација. Промената ќе стапи на сила во првиот квартал на 2022 година и ќе се однесува на одржувачите и администраторите на пакетите вклучени во најпопуларната листа. Дополнително, се известува за модернизација на инфраструктурата, во која ќе се воведе автоматско следење и анализа на нови верзии на пакети за рано откривање на малициозни промени.

Да потсетиме дека, според студијата спроведена во 2020 година, само 9.27% од одржувачите на пакети користат двофакторна автентикација за да го заштитат пристапот, а во 13.37% од случаите, при регистрација на нови сметки, програмерите се обиделе повторно да ги користат компромитирани лозинки што се појавиле во протекување на познати лозинки. За време на безбедносната проверка на лозинката, до 12% од сметките на NPM (13% од пакетите) беше пристапено поради употребата на предвидливи и тривијални лозинки како „123456“. Меѓу проблематичните беа 4 кориснички сметки од Топ 20 најпопуларни пакети, 13 сметки со пакети преземени повеќе од 50 милиони пати месечно, 40 со повеќе од 10 милиони преземања месечно и 282 со повеќе од 1 милион преземања месечно. Земајќи го предвид вчитувањето на модулите долж синџирот на зависности, компромисот на недоверливите сметки може да влијае на до 52% од сите модули во NPM.

Извор: opennet.ru