NPM रेपॉजिटरीमधील भेद्यता जी पुष्टीशिवाय मेंटेनर जोडण्याची परवानगी देते

NPM पॅकेज रेपॉजिटरीमध्ये एक सुरक्षितता समस्या ओळखली गेली आहे जी पॅकेज मालकास त्या वापरकर्त्याची संमती न घेता आणि केलेल्या कारवाईची माहिती न देता कोणत्याही वापरकर्त्यास देखभालकर्ता म्हणून जोडू देते. समस्येचे निराकरण करण्यासाठी, एकदा तृतीय पक्षाला मेंटेनर म्हणून जोडले गेले की, पॅकेजचा मूळ लेखक स्वतःला देखभालकर्त्यांच्या यादीतून काढून टाकू शकतो, संकुलासाठी जबाबदार असणारा एकमात्र तृतीय पक्ष सोडून.

दुर्भावनापूर्ण पॅकेजचे निर्माते या समस्येचा फायदा घेऊन सुप्रसिद्ध विकासक किंवा मोठ्या कंपन्यांना देखभाल करणार्‍यांच्या संख्येत वापरकर्त्यांचा विश्वास वाढवण्यासाठी आणि संकुलासाठी आदरणीय विकासक जबाबदार आहेत असा भ्रम निर्माण करू शकतात, जरी प्रत्यक्षात ते त्याच्याशी काहीही देणेघेणे नाही आणि त्याच्या अस्तित्वाबद्दल देखील माहित नाही. उदाहरणार्थ, आक्रमणकर्ता दुर्भावनापूर्ण पॅकेज पोस्ट करू शकतो, देखभालकर्ता बदलू शकतो आणि मोठ्या कंपनीकडून नवीन विकासाची चाचणी घेण्यासाठी वापरकर्त्यांना आमंत्रित करू शकतो. असुरक्षिततेचा वापर काही विकासकांच्या प्रतिष्ठेला कलंकित करण्यासाठी, त्यांना संशयास्पद कृती आणि दुर्भावनापूर्ण कृतींचे आरंभकर्ता म्हणून सादर करण्यासाठी देखील केला जाऊ शकतो.

GitHub ला या समस्येबद्दल 10 फेब्रुवारी रोजी सूचित केले गेले आणि 26 एप्रिल रोजी वापरकर्त्यांनी दुसर्‍या प्रोजेक्टमध्ये सामील होण्यास सहमती दर्शवून npmjs.com साठी समस्या निश्चित केली. मोठ्या संख्येने NPM पॅकेजेसच्या विकसकांना त्यांच्या संमतीशिवाय जोडलेल्या बंधनांसाठी पॅकेजेसची यादी तपासण्यासाठी प्रोत्साहित केले जाते.

स्त्रोत: opennet.ru