NPM वर हल्ला जो तुम्हाला खाजगी भांडारांमध्ये पॅकेजची उपस्थिती निश्चित करण्यास अनुमती देतो

NPM मध्ये एक बग ओळखला गेला आहे जो तुम्हाला खाजगी रेपॉजिटरीजमधील पॅकेजचे अस्तित्व निश्चित करण्यास परवानगी देतो. रिपॉझिटरीमध्ये प्रवेश नसलेल्या तृतीय पक्ष वापरकर्त्याद्वारे विद्यमान आणि अस्तित्वात नसलेल्या पॅकेजची विनंती करताना भिन्न प्रतिसाद वेळेमुळे समस्या उद्भवते. खाजगी भांडारांमध्ये कोणत्याही पॅकेजेससाठी प्रवेश नसल्यास, registry.npmjs.org सर्व्हर "404" कोडसह त्रुटी परत करतो, परंतु विनंती केलेल्या नावाचे पॅकेज अस्तित्वात असल्यास, त्रुटी लक्षात येण्याजोग्या विलंबाने जारी केली जाते. एखादा आक्रमणकर्ता डिक्शनरीमधून पॅकेजची नावे शोधून पॅकेजची उपस्थिती निश्चित करण्यासाठी हे वैशिष्ट्य वापरू शकतो.

सार्वजनिक आणि अंतर्गत रेपॉजिटरीजमधील अवलंबित्व नावांच्या छेदनबिंदूमध्ये फेरफार करणार्‍या डिपेंडेंसी मिक्सिंग अटॅकसाठी खाजगी रेपॉजिटरीजमधील पॅकेजची नावे निश्चित करणे आवश्यक असू शकते. कॉर्पोरेट रिपॉजिटरीमध्ये कोणते अंतर्गत NPM पॅकेजेस आहेत हे जाणून घेतल्यास, आक्रमणकर्ता सार्वजनिक NPM भांडारात समान नावांची आणि नवीन आवृत्ती क्रमांकांची पॅकेजेस ठेवू शकतो. जर, तयार करताना, अंतर्गत लायब्ररी त्यांच्या रेपॉजिटरीशी सेटिंग्जमध्ये स्पष्टपणे जोडल्या गेल्या नसतील, तर npm पॅकेज व्यवस्थापक सार्वजनिक भांडाराचा प्राधान्याने विचार करेल आणि आक्रमणकर्त्याने तयार केलेले पॅकेज डाउनलोड करेल.

GitHub ला मार्चमध्ये या समस्येबद्दल सूचित केले गेले होते परंतु आर्किटेक्चरल मर्यादांचा हवाला देऊन हल्ल्यापासून संरक्षण जोडण्यास नकार दिला. खाजगी रेपॉजिटरी वापरणार्‍या कंपन्यांना वेळोवेळी सार्वजनिक भांडारात आच्छादित नावे तपासण्याचा सल्ला दिला जातो किंवा खाजगी भांडारांमध्ये पॅकेज नावांची डुप्लिकेट नावे असलेल्या नावांसह स्टब तयार करण्याचा सल्ला दिला जातो जेणेकरून आक्रमणकर्ते त्यांचे पॅकेजेस ओव्हरलॅपिंग नावांसह ठेवू शकत नाहीत.

स्त्रोत: opennet.ru