NPM റിപ്പോസിറ്ററിയിലെ ഏത് പാക്കേജിനും ഒരു അപ്‌ഡേറ്റ് റിലീസ് ചെയ്യാൻ അനുവദിക്കുന്ന ഒരു ദുർബലത

GitHub അതിന്റെ NPM പാക്കേജ് റിപ്പോസിറ്ററി ഇൻഫ്രാസ്ട്രക്ചറിൽ രണ്ട് സംഭവങ്ങൾ വെളിപ്പെടുത്തിയിട്ടുണ്ട്. നവംബർ 2-ന്, ബഗ് ബൗണ്ടി പ്രോഗ്രാമിന്റെ ഭാഗമായി മൂന്നാം കക്ഷി സുരക്ഷാ ഗവേഷകർ (കജെതാൻ ഗ്രിബോവ്‌സ്‌കി, മസീജ് പീച്ചോട്ട) NPM ശേഖരത്തിൽ ഒരു അപകടസാധ്യത റിപ്പോർട്ട് ചെയ്‌തു, അത് നിങ്ങളുടെ അക്കൗണ്ട് ഉപയോഗിച്ച് ഏത് പാക്കേജിന്റെയും പുതിയ പതിപ്പ് പ്രസിദ്ധീകരിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു, അത്തരം അപ്ഡേറ്റുകൾ നടത്താൻ അധികാരമില്ലാത്തവ.

എൻ‌പി‌എമ്മിലേക്കുള്ള അഭ്യർത്ഥനകൾ പ്രോസസ്സ് ചെയ്യുന്ന മൈക്രോസർവീസുകളുടെ കോഡിലെ തെറ്റായ അനുമതി പരിശോധനകളാണ് അപകടത്തിന് കാരണമായത്. അഭ്യർത്ഥനയിൽ പാസ്സാക്കിയ ഡാറ്റയെ അടിസ്ഥാനമാക്കി, അംഗീകാര സേവനം പാക്കേജ് അനുമതി പരിശോധനകൾ നടത്തി, എന്നാൽ ശേഖരത്തിലേക്ക് അപ്ഡേറ്റ് അപ്ലോഡ് ചെയ്ത മറ്റൊരു സേവനം അപ്ലോഡ് ചെയ്ത പാക്കേജിന്റെ മെറ്റാഡാറ്റ ഉള്ളടക്കത്തെ അടിസ്ഥാനമാക്കി പ്രസിദ്ധീകരിക്കാൻ പാക്കേജ് നിർണ്ണയിച്ചു. അതിനാൽ, ഒരു ആക്രമണകാരിക്ക് തന്റെ പാക്കേജിനായി ഒരു അപ്ഡേറ്റ് പ്രസിദ്ധീകരിക്കാൻ അഭ്യർത്ഥിക്കാം, അതിലേക്ക് ആക്സസ് ഉണ്ട്, എന്നാൽ പാക്കേജിൽ തന്നെ മറ്റൊരു പാക്കേജിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ വ്യക്തമാക്കുക, അത് ഒടുവിൽ അപ്ഡേറ്റ് ചെയ്യപ്പെടും.

അപകടസാധ്യത റിപ്പോർട്ട് ചെയ്‌ത് 6 മണിക്കൂർ കഴിഞ്ഞ് പ്രശ്‌നം പരിഹരിച്ചു, എന്നാൽ ടെലിമെട്രി ലോഗുകളുടെ കവറിനേക്കാൾ കൂടുതൽ ദൈർഘ്യമുള്ള അപകടസാധ്യത NPM-ൽ ഉണ്ടായിരുന്നു. 2020 സെപ്തംബർ മുതൽ ഈ അപകടസാധ്യത ഉപയോഗിച്ചുള്ള ആക്രമണങ്ങളുടെ സൂചനകളൊന്നും ഉണ്ടായിട്ടില്ലെന്ന് GitHub അവകാശപ്പെടുന്നു, എന്നാൽ പ്രശ്നം മുമ്പ് പ്രയോജനപ്പെടുത്തിയിട്ടില്ലെന്ന് ഉറപ്പില്ല.

ഒക്ടോബർ 26നാണ് രണ്ടാമത്തെ സംഭവം. replicate.npmjs.com സേവനത്തിന്റെ ഡാറ്റാബേസുമായുള്ള സാങ്കേതിക പ്രവർത്തനത്തിനിടെ, ബാഹ്യ അഭ്യർത്ഥനകൾക്ക് ആക്‌സസ് ചെയ്യാവുന്ന ഡാറ്റാബേസിലെ രഹസ്യാത്മക ഡാറ്റയുടെ സാന്നിധ്യം വെളിപ്പെടുത്തി, മാറ്റ ലോഗിൽ സൂചിപ്പിച്ചിരിക്കുന്ന ആന്തരിക പാക്കേജുകളുടെ പേരുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ വെളിപ്പെടുത്തി. അത്തരം പേരുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ആന്തരിക പ്രോജക്റ്റുകളിൽ ഡിപൻഡൻസി ആക്രമണങ്ങൾ നടത്താൻ ഉപയോഗിക്കാം (ഫെബ്രുവരിയിൽ, സമാനമായ ആക്രമണം PayPal, Microsoft, Apple, Netflix, Uber തുടങ്ങിയ 30 കമ്പനികളുടെ സെർവറുകളിൽ കോഡ് നടപ്പിലാക്കാൻ അനുവദിച്ചു).

കൂടാതെ, വൻകിട പ്രോജക്റ്റുകളുടെ റിപ്പോസിറ്ററികൾ ഹൈജാക്ക് ചെയ്യപ്പെടുന്നതും, വിട്ടുവീഴ്ച ചെയ്യുന്ന ഡെവലപ്പർ അക്കൗണ്ടുകളിലൂടെ ക്ഷുദ്ര കോഡ് പ്രമോട്ട് ചെയ്യുന്നതുമായ കേസുകളുടെ എണ്ണം വർദ്ധിക്കുന്നതിനാൽ, നിർബന്ധിത രണ്ട്-ഘടക പ്രാമാണീകരണം അവതരിപ്പിക്കാൻ GitHub തീരുമാനിച്ചു. 2022-ന്റെ ആദ്യ പാദത്തിൽ ഈ മാറ്റം പ്രാബല്യത്തിൽ വരും, ഏറ്റവും ജനപ്രിയമായ ലിസ്റ്റിൽ ഉൾപ്പെട്ടിരിക്കുന്ന പാക്കേജുകളുടെ മെയിന്റനർമാർക്കും അഡ്മിനിസ്ട്രേറ്റർമാർക്കും ഇത് ബാധകമാകും. കൂടാതെ, ഇൻഫ്രാസ്ട്രക്ചറിന്റെ ആധുനികവൽക്കരണത്തെക്കുറിച്ചും ഇത് റിപ്പോർട്ട് ചെയ്യപ്പെടുന്നു, അതിൽ ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ നേരത്തെ കണ്ടെത്തുന്നതിന് പാക്കേജുകളുടെ പുതിയ പതിപ്പുകളുടെ സ്വയമേവയുള്ള നിരീക്ഷണവും വിശകലനവും അവതരിപ്പിക്കും.

2020-ൽ നടത്തിയ ഒരു പഠനമനുസരിച്ച്, പാക്കേജ് പരിപാലിക്കുന്നവരിൽ 9.27% ​​മാത്രമേ ആക്‌സസ് പരിരക്ഷിക്കുന്നതിന് രണ്ട്-ഘടക പ്രാമാണീകരണം ഉപയോഗിക്കുന്നുള്ളൂ, 13.37% കേസുകളിൽ, പുതിയ അക്കൗണ്ടുകൾ രജിസ്റ്റർ ചെയ്യുമ്പോൾ, ഡെവലപ്പർമാർ വിട്ടുവീഴ്ച ചെയ്ത പാസ്‌വേഡുകൾ വീണ്ടും ഉപയോഗിക്കാൻ ശ്രമിച്ചു. അറിയപ്പെടുന്ന പാസ്‌വേഡ് ചോർച്ച. ഒരു പാസ്‌വേഡ് സുരക്ഷാ അവലോകന വേളയിൽ, “12” പോലുള്ള പ്രവചനാതീതവും നിസ്സാരവുമായ പാസ്‌വേഡുകൾ ഉപയോഗിച്ചതിനാൽ 13% NPM അക്കൗണ്ടുകൾ (123456% പാക്കേജുകൾ) ആക്‌സസ് ചെയ്‌തു. ഏറ്റവും ജനപ്രിയമായ 4 പാക്കേജുകളിൽ നിന്നുള്ള 20 ഉപയോക്തൃ അക്കൗണ്ടുകൾ, പ്രതിമാസം 13 ദശലക്ഷത്തിലധികം തവണ ഡൗൺലോഡ് ചെയ്‌ത പാക്കേജുകളുള്ള 50 അക്കൗണ്ടുകൾ, പ്രതിമാസം 40 ദശലക്ഷത്തിലധികം ഡൗൺലോഡുകൾ ഉള്ള 10, പ്രതിമാസം 282 ദശലക്ഷത്തിലധികം ഡൗൺലോഡുകൾ ഉള്ള 1 എന്നിങ്ങനെയാണ് പ്രശ്‌നകരമായവ. ഡിപൻഡൻസികളുടെ ഒരു ശൃംഖലയിൽ മൊഡ്യൂളുകൾ ലോഡ് ചെയ്യുന്നത് കണക്കിലെടുക്കുമ്പോൾ, വിശ്വാസയോഗ്യമല്ലാത്ത അക്കൗണ്ടുകളുടെ ഒത്തുതീർപ്പ് NPM-ലെ മൊഡ്യൂളുകളുടെ 52% വരെ ബാധിക്കാം.

അവലംബം: opennet.ru