NPM भण्डारमा कुनै पनि प्याकेजको लागि अद्यावधिक जारी गर्न अनुमति दिने एउटा जोखिम

GitHub ले यसको NPM प्याकेज रिपोजिटरी पूर्वाधारमा दुई घटनाहरू खुलासा गरेको छ। नोभेम्बर 2 मा, बग बाउन्टी कार्यक्रमको एक भागको रूपमा तेस्रो-पक्ष सुरक्षा अनुसन्धानकर्ताहरू (काजेटन ग्र्जिबोस्की र मासीज पिचोटा) ले NPM भण्डारमा एउटा जोखिमको उपस्थिति रिपोर्ट गरे जसले तपाईंलाई आफ्नो खाता प्रयोग गरेर कुनै पनि प्याकेजको नयाँ संस्करण प्रकाशित गर्न अनुमति दिन्छ। जुन त्यस्ता अद्यावधिकहरू प्रदर्शन गर्न अधिकृत छैन।

NPM लाई अनुरोधहरू प्रशोधन गर्ने माइक्रो सेवाहरूको कोडमा गलत अनुमति जाँचहरूको कारणले गर्दा यो जोखिम उत्पन्न भएको हो। प्राधिकरण सेवाले अनुरोधमा पास गरिएको डाटामा आधारित प्याकेज अनुमति जाँचहरू प्रदर्शन गर्यो, तर भण्डारमा अद्यावधिक अपलोड गर्ने अर्को सेवाले अपलोड गरिएको प्याकेजको मेटाडेटा सामग्रीको आधारमा प्रकाशित गर्न प्याकेज निर्धारण गर्यो। यसरी, एक आक्रमणकारीले आफ्नो प्याकेजको लागि अद्यावधिकको प्रकाशन अनुरोध गर्न सक्छ, जसमा उसको पहुँच छ, तर प्याकेजमा नै अर्को प्याकेजको बारेमा जानकारी निर्दिष्ट गर्नुहोस्, जुन अन्ततः अद्यावधिक हुनेछ।

कमजोरी रिपोर्ट गरिएको 6 घण्टा पछि समस्या समाधान गरिएको थियो, तर कमजोरी टेलिमेट्री लग कभर भन्दा लामो NPM मा उपस्थित थियो। GitHub ले दाबी गर्छ कि सेप्टेम्बर 2020 देखि यो जोखिम प्रयोग गरेर आक्रमणको कुनै निशान छैन, तर त्यहाँ कुनै ग्यारेन्टी छैन कि समस्या पहिले शोषण गरिएको छैन।

दोस्रो घटना असोज २६ गते भएको थियो । replicate.npmjs.com सेवाको डाटाबेससँग प्राविधिक कार्यको क्रममा, बाह्य अनुरोधहरूमा पहुँचयोग्य डाटाबेसमा गोप्य डाटाको उपस्थिति प्रकट भयो, परिवर्तन लगमा उल्लेख गरिएका आन्तरिक प्याकेजहरूको नामहरूको बारेमा जानकारी प्रकट गर्दै। त्यस्ता नामहरूको बारेमा जानकारी आन्तरिक परियोजनाहरूमा निर्भरता आक्रमणहरू गर्न प्रयोग गर्न सकिन्छ (फेब्रुअरीमा, समान आक्रमणले PayPal, Microsoft, Apple, Netflix, Uber र 26 अन्य कम्पनीहरूको सर्भरहरूमा कार्यान्वयन गर्न अनुमति दिएको कोड)।

थप रूपमा, ठूला परियोजनाहरूको रिपोजिटरीहरू अपहरण हुने र मालिसियस कोडलाई सम्झौता गर्ने विकासकर्ता खाताहरू मार्फत बढावा दिने घटनाहरूको बढ्दो संख्याका कारण, GitHub ले अनिवार्य दुई-कारक प्रमाणीकरण लागू गर्ने निर्णय गरेको छ। यो परिवर्तन 2022 को पहिलो क्वाटरमा लागू हुनेछ र सबैभन्दा लोकप्रिय सूचीमा समावेश प्याकेजहरूको मर्मतकर्ता र प्रशासकहरूमा लागू हुनेछ। थप रूपमा, यो पूर्वाधारको आधुनिकीकरणको बारेमा रिपोर्ट गरिएको छ, जसमा मालिसियस परिवर्तनहरूको प्रारम्भिक पत्ता लगाउन प्याकेजहरूको नयाँ संस्करणहरूको स्वचालित निगरानी र विश्लेषण पेश गरिनेछ।

याद गरौं, २०२० मा गरिएको एक अध्ययन अनुसार, प्याकेज मर्मतकर्ताहरूले मात्र पहुँच सुरक्षित गर्न दुई-कारक प्रमाणीकरण प्रयोग गर्छन्, र १३.३७% केसहरूमा, नयाँ खाताहरू दर्ता गर्दा, विकासकर्ताहरूले सम्झौतामा देखा परेका पासवर्डहरू पुन: प्रयोग गर्ने प्रयास गरे। ज्ञात पासवर्ड लीक। पासवर्ड सुरक्षा समीक्षाको क्रममा, 2020% NPM खाताहरू (9.27% प्याकेजहरू) "13.37" जस्ता भविष्यवाणी गर्न सकिने र तुच्छ पासवर्डहरूको प्रयोगको कारणले पहुँच गरिएको थियो। समस्याग्रस्तहरू मध्ये शीर्ष 12 सबैभन्दा लोकप्रिय प्याकेजहरूबाट 13 प्रयोगकर्ता खाताहरू थिए, प्याकेजहरू भएका 123456 खाताहरू प्रति महिना 4 मिलियन भन्दा बढी पटक डाउनलोड भएका थिए, 20 प्रति महिना 13 मिलियन भन्दा बढी डाउनलोडहरू भएका थिए, र 50 प्रति महिना 40 मिलियन भन्दा बढी डाउनलोडहरू भएका थिए। निर्भरताहरूको श्रृंखलामा मोड्युलहरूको लोडिङलाई ध्यानमा राख्दै, अविश्वसनीय खाताहरूको सम्झौताले NPM मा सबै मोड्युलहरूको 10% सम्म असर गर्न सक्छ।

स्रोत: opennet.ru