एक असुरक्षा ज्याने NPM रेपॉजिटरीमधील कोणत्याही पॅकेजसाठी अपडेट सोडण्याची परवानगी दिली

GitHub ने त्याच्या NPM पॅकेज रेपॉजिटरी इन्फ्रास्ट्रक्चरमध्ये दोन घटना उघड केल्या आहेत. 2 नोव्हेंबर रोजी, तृतीय-पक्ष सुरक्षा संशोधकांनी (Kagetan Grzybowski आणि Maciej Piechota), बग बाउंटी प्रोग्रामचा एक भाग म्हणून, NPM रेपॉजिटरीमध्ये असुरक्षिततेची उपस्थिती नोंदवली जी तुम्हाला तुमचे खाते वापरून कोणत्याही पॅकेजची नवीन आवृत्ती प्रकाशित करण्यास अनुमती देते, जे असे अद्यतने करण्यासाठी अधिकृत नाही.

NPM च्या विनंतीवर प्रक्रिया करणार्‍या मायक्रोसर्व्हिसेसच्या कोडमधील चुकीच्या परवानगी तपासणीमुळे असुरक्षितता आली. प्राधिकृत सेवेने विनंतीमध्ये पास केलेल्या डेटाच्या आधारे पॅकेज परवानगी तपासणी केली, परंतु रिपॉझिटरीमध्ये अपडेट अपलोड करणार्‍या दुसर्‍या सेवेने अपलोड केलेल्या पॅकेजच्या मेटाडेटा सामग्रीवर आधारित पॅकेज प्रकाशित करण्याचे ठरवले. अशा प्रकारे, आक्रमणकर्ता त्याच्या पॅकेजसाठी अद्यतन प्रकाशित करण्याची विनंती करू शकतो, ज्यामध्ये त्याला प्रवेश आहे, परंतु पॅकेजमध्येच दुसर्‍या पॅकेजबद्दल माहिती निर्दिष्ट करा, जी शेवटी अद्यतनित केली जाईल.

भेद्यतेचा अहवाल दिल्यानंतर 6 तासांनी समस्येचे निराकरण करण्यात आले, परंतु असुरक्षा टेलिमेट्री लॉग कव्हरपेक्षा जास्त काळ NPM मध्ये उपस्थित होती. GitHub चा दावा आहे की सप्टेंबर 2020 पासून या असुरक्षिततेचा वापर करून हल्ले झाल्याचा कोणताही मागोवा आढळला नाही, परंतु याआधी या समस्येचा फायदा घेतला गेला नाही याची कोणतीही हमी नाही.

दुसरी घटना २६ ऑक्टोबर रोजी घडली. replicate.npmjs.com सेवेच्या डेटाबेससह तांत्रिक कार्यादरम्यान, बाह्य विनंत्यांना प्रवेश करण्यायोग्य डेटाबेसमधील गोपनीय डेटाची उपस्थिती उघड झाली, जी बदल लॉगमध्ये नमूद केलेल्या अंतर्गत पॅकेजेसच्या नावांबद्दल माहिती उघड करते. अशा नावांची माहिती अंतर्गत प्रकल्पांवर अवलंबित्व हल्ले करण्यासाठी वापरली जाऊ शकते (फेब्रुवारीमध्ये, अशाच हल्ल्यामुळे PayPal, Microsoft, Apple, Netflix, Uber आणि इतर 26 कंपन्यांच्या सर्व्हरवर कोड कार्यान्वित केला जाऊ शकतो).

याशिवाय, मोठ्या प्रकल्पांच्या रिपॉझिटरी अपहृत केल्या जाण्याच्या प्रकरणांच्या वाढत्या संख्येमुळे आणि तडजोड करणाऱ्या विकसक खात्यांद्वारे दुर्भावनापूर्ण कोडचा प्रचार केला जात असल्याने, GitHub ने अनिवार्य द्वि-घटक प्रमाणीकरण सुरू करण्याचा निर्णय घेतला आहे. हा बदल 2022 च्या पहिल्या तिमाहीत लागू होईल आणि सर्वात लोकप्रिय सूचीमध्ये समाविष्ट असलेल्या पॅकेजच्या देखभाल करणार्‍यांना आणि प्रशासकांना लागू होईल. याव्यतिरिक्त, पायाभूत सुविधांच्या आधुनिकीकरणाविषयी अहवाल दिला जातो, ज्यामध्ये दुर्भावनापूर्ण बदल लवकर ओळखण्यासाठी पॅकेजच्या नवीन आवृत्त्यांचे स्वयंचलित निरीक्षण आणि विश्लेषण सुरू केले जाईल.

2020 मध्ये केलेल्या अभ्यासानुसार, केवळ 9.27% ​​पॅकेज मेंटेनर्स प्रवेश संरक्षित करण्यासाठी द्वि-घटक प्रमाणीकरण वापरतात आणि 13.37% प्रकरणांमध्ये, नवीन खात्यांची नोंदणी करताना, विकसकांनी तडजोड केलेले पासवर्ड पुन्हा वापरण्याचा प्रयत्न केला. ज्ञात पासवर्ड लीक. पासवर्ड सुरक्षितता पुनरावलोकनादरम्यान, “12” सारख्या अंदाजे आणि क्षुल्लक पासवर्डच्या वापरामुळे 13% NPM खात्यांमध्ये (123456% पॅकेजेस) प्रवेश केला गेला. समस्याग्रस्तांपैकी टॉप 4 सर्वाधिक लोकप्रिय पॅकेजेसमधील 20 वापरकर्ता खाती, दरमहा 13 दशलक्षपेक्षा जास्त वेळा डाउनलोड केलेली पॅकेज असलेली 50 खाती, दरमहा 40 दशलक्षाहून अधिक डाउनलोड असलेली 10 आणि दरमहा 282 दशलक्षपेक्षा जास्त डाउनलोड असलेली 1 खाती होती. अवलंबनांच्या साखळीसह मॉड्यूल्सचे लोडिंग लक्षात घेऊन, अविश्वासू खात्यांची तडजोड NPM मधील सर्व मॉड्यूल्सपैकी 52% पर्यंत प्रभावित करू शकते.

स्त्रोत: opennet.ru