സ്വകാര്യ റിപ്പോസിറ്ററികളിലെ പാക്കേജുകളുടെ സാന്നിധ്യം നിർണ്ണയിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന NPM-ന് നേരെയുള്ള ആക്രമണം

സ്വകാര്യ റിപ്പോസിറ്ററികളിലെ പാക്കേജുകളുടെ അസ്തിത്വം നിർണ്ണയിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ഒരു ബഗ് NPM-ൽ തിരിച്ചറിഞ്ഞു. ശേഖരത്തിലേക്ക് ആക്‌സസ് ഇല്ലാത്ത ഒരു മൂന്നാം കക്ഷി ഉപയോക്താവ് നിലവിലുള്ളതും ഇല്ലാത്തതുമായ പാക്കേജ് അഭ്യർത്ഥിക്കുമ്പോൾ വ്യത്യസ്ത പ്രതികരണ സമയങ്ങളാണ് പ്രശ്‌നമുണ്ടാക്കുന്നത്. സ്വകാര്യ റിപ്പോസിറ്ററികളിൽ ഏതെങ്കിലും പാക്കേജുകൾക്ക് ആക്സസ് ഇല്ലെങ്കിൽ, registry.npmjs.org സെർവർ "404" എന്ന കോഡുള്ള ഒരു പിശക് നൽകുന്നു, എന്നാൽ അഭ്യർത്ഥിച്ച പേരുള്ള ഒരു പാക്കേജ് നിലവിലുണ്ടെങ്കിൽ, പിശക് ശ്രദ്ധേയമായ കാലതാമസത്തോടെയാണ് നൽകുന്നത്. നിഘണ്ടുക്കളിൽ നിന്ന് പാക്കേജിന്റെ പേരുകൾ നോക്കി ഒരു പാക്കേജിന്റെ സാന്നിധ്യം നിർണ്ണയിക്കാൻ ആക്രമണകാരിക്ക് ഈ സവിശേഷത ഉപയോഗിക്കാം.

പബ്ലിക്, ഇന്റേണൽ റിപ്പോസിറ്ററികളിലെ ഡിപൻഡൻസി നാമങ്ങളുടെ കവലയിൽ കൃത്രിമം കാണിക്കുന്ന ഡിപൻഡൻസി മിക്സിംഗ് ആക്രമണം നടത്താൻ സ്വകാര്യ റിപ്പോസിറ്ററികളിലെ പാക്കേജ് പേരുകൾ നിർണ്ണയിക്കേണ്ടത് ആവശ്യമായി വന്നേക്കാം. കോർപ്പറേറ്റ് ശേഖരണങ്ങളിൽ ഏതൊക്കെ ആന്തരിക NPM പാക്കേജുകൾ ഉണ്ടെന്ന് അറിയുന്നതിലൂടെ, ഒരു ആക്രമണകാരിക്ക് പൊതു NPM ശേഖരണത്തിൽ അതേ പേരുകളും പുതിയ പതിപ്പ് നമ്പറുകളുമുള്ള പാക്കേജുകൾ സ്ഥാപിക്കാൻ കഴിയും. നിർമ്മിക്കുമ്പോൾ, ആന്തരിക ലൈബ്രറികൾ അവയുടെ സംഭരണിയിലേക്കുള്ള ക്രമീകരണങ്ങളിൽ വ്യക്തമായി ലിങ്ക് ചെയ്തിട്ടില്ലെങ്കിൽ, npm പാക്കേജ് മാനേജർ പൊതു ശേഖരണത്തെ മുൻഗണനയായി കണക്കാക്കുകയും ആക്രമണകാരി തയ്യാറാക്കിയ പാക്കേജ് ഡൗൺലോഡ് ചെയ്യുകയും ചെയ്യും.

മാർച്ചിൽ GitHub-നെ ഈ പ്രശ്നത്തെക്കുറിച്ച് അറിയിച്ചിരുന്നുവെങ്കിലും വാസ്തുവിദ്യാ പരിമിതികൾ ചൂണ്ടിക്കാട്ടി ആക്രമണത്തിനെതിരെ സംരക്ഷണം ചേർക്കാൻ വിസമ്മതിച്ചു. സ്വകാര്യ റിപ്പോസിറ്ററികൾ ഉപയോഗിക്കുന്ന കമ്പനികൾ പബ്ലിക് റിപ്പോസിറ്ററിയിൽ ഓവർലാപ്പുചെയ്യുന്ന പേരുകൾ ഇടയ്ക്കിടെ പരിശോധിക്കാൻ നിർദ്ദേശിക്കുന്നു, അല്ലെങ്കിൽ അവരുടെ പേരിൽ സ്വകാര്യ ശേഖരണങ്ങളിൽ പാക്കേജ് പേരുകൾ തനിപ്പകർപ്പാക്കുന്ന പേരുകൾ ഉപയോഗിച്ച് സ്റ്റബുകൾ സൃഷ്ടിക്കുക, അങ്ങനെ ആക്രമണകാരികൾക്ക് അവരുടെ പാക്കേജുകൾ ഓവർലാപ്പുചെയ്യുന്ന പേരുകളിൽ സ്ഥാപിക്കാൻ കഴിയില്ല.

അവലംബം: opennet.ru