NPM मा आक्रमण जसले तपाईंलाई निजी भण्डारहरूमा प्याकेजहरूको उपस्थिति निर्धारण गर्न अनुमति दिन्छ

NPM मा एउटा बग पहिचान गरिएको छ जसले तपाईंलाई निजी भण्डारहरूमा प्याकेजहरूको अस्तित्व निर्धारण गर्न अनुमति दिन्छ। रिपोजिटरीमा पहुँच नभएको तेस्रो पक्ष प्रयोगकर्ताद्वारा अवस्थित र गैर-अवस्थित प्याकेज अनुरोध गर्दा फरक प्रतिक्रिया समयको कारणले गर्दा समस्या उत्पन्न हुन्छ। यदि निजी भण्डारहरूमा कुनै प्याकेजहरूको लागि पहुँच छैन भने, registry.npmjs.org सर्भरले कोड "404" को साथ त्रुटि फर्काउँछ, तर यदि अनुरोध गरिएको नामको साथ प्याकेज अवस्थित छ भने, त्रुटि एक उल्लेखनीय ढिलाइको साथ जारी गरिन्छ। एक आक्रमणकारीले यो सुविधा प्रयोग गर्न सक्छ प्याकेजको उपस्थिति निर्धारण गर्न शब्दकोशबाट प्याकेज नामहरू हेरेर।

निजी भण्डारहरूमा प्याकेज नामहरू निर्धारण गर्न सार्वजनिक र आन्तरिक भण्डारहरूमा निर्भरता नामहरूको प्रतिच्छेदनलाई हेरफेर गर्ने निर्भरता मिश्रण आक्रमण गर्न आवश्यक हुन सक्छ। कुन आन्तरिक NPM प्याकेजहरू कर्पोरेट रिपोजिटरीहरूमा छन् भन्ने थाहा पाएर, आक्रमणकर्ताले सार्वजनिक NPM भण्डारमा समान नामहरू र नयाँ संस्करण नम्बरहरू भएका प्याकेजहरू राख्न सक्छ। यदि, निर्माण गर्दा, आन्तरिक पुस्तकालयहरूलाई तिनीहरूको भण्डारमा सेटिङहरूमा स्पष्ट रूपमा लिङ्क गरिएको छैन भने, npm प्याकेज प्रबन्धकले सार्वजनिक भण्डारलाई प्राथमिकताको रूपमा विचार गर्नेछ र आक्रमणकर्ताद्वारा तयार गरिएको प्याकेज डाउनलोड गर्नेछ।

GitHub लाई मार्चमा मुद्दाको बारेमा सूचित गरिएको थियो तर वास्तुकला सीमितताहरू उद्धृत गर्दै आक्रमण विरुद्ध सुरक्षा थप्न अस्वीकार गर्यो। निजी रिपोजिटरीहरू प्रयोग गर्ने कम्पनीहरूलाई आवधिक रूपमा सार्वजनिक भण्डारमा ओभरल्यापिङ नामहरू जाँच गर्न सल्लाह दिइन्छ, वा तिनीहरूको तर्फबाट नामहरूको साथ स्टबहरू सिर्जना गर्नुहोस् जसले निजी भण्डारहरूमा प्याकेज नामहरू डुप्लिकेट गर्दछ ताकि आक्रमणकारीहरूले तिनीहरूको प्याकेजहरू ओभरल्यापिङ नामहरू राख्न सक्दैनन्।

स्रोत: opennet.ru