{"id":105307,"date":"2022-10-14T15:36:38","date_gmt":"2022-10-14T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah"},"modified":"2022-10-14T15:36:38","modified_gmt":"2022-10-14T13:36:38","slug":"ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","title":{"rendered":"Aanval op NPM waarmee de aanwezigheid van pakketten in priv\u00e9-repositories kan worden vastgesteld","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Er is een tekortkoming in NPM vastgesteld die het mogelijk maakt om de aanwezigheid van pakketten in gesloten repositories te achterhalen. Dit probleem wordt veroorzaakt door verschillende reactietijden bij het opvragen van een bestaand versus een niet-bestaand pakket door een externe gebruiker die geen toegang heeft tot de repository. Bij gebrek aan toegang voor welke pakketten dan ook in priv\u00e9-repositories, retourneert de server registry.npmjs.org een fout met de code \"404\", maar in het geval dat een pakket met de opgevraagde naam bestaat, wordt de fout met een merkbare vertraging weergegeven. Een aanvaller kan deze eigenschap gebruiken om de aanwezigheid van een pakket te bepalen door pakketnamen uit woordenboeken te proberen. <\/p>\n
Het bepalen van pakkettennamen in gesloten repositories kan nodig zijn om een aanval via dependency confusion uit te voeren, waarbij gebruik wordt gemaakt van de overlap van afhankelijkheidsnamen in openbare en interne repositories. Door te weten welke interne NPM-pakketten aanwezig zijn in bedrijf repositories, kan een aanvaller pakketten met dezelfde namen en nieuwere versie nummers in de openbare NPM-repository plaatsen. Als interne bibliotheken niet expliciet aan hun repository zijn gebonden in de instellingen tijdens het bouwen, beschouwt de package manager npm de openbare repository als hoger in prioriteit en zal het het door de aanvaller voorbereide pakket downloaden. <\/p>\n
GitHub werd in maart op de kwestie gewezen, maar weigerde bescherming tegen de aanval toe te voegen en verwees naar architectonische beperkingen. Bedrijven die gebruik maken van priv\u00e9-repositories wordt geadviseerd om periodiek te controleren op de aanwezigheid van overlappende namen in de openbare repository of om van hun naam mockups te cre\u00ebren met namen die overeenkomen met de namen van pakketten in priv\u00e9-repositories, zodat kwaadwillenden hun pakketten met overlappende namen niet kunnen plaatsen. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"