ਇੱਕ ਕਮਜ਼ੋਰੀ ਜੋ NPM ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਕਿਸੇ ਵੀ ਪੈਕੇਜ ਲਈ ਇੱਕ ਅੱਪਡੇਟ ਜਾਰੀ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ

GitHub ਨੇ ਆਪਣੇ NPM ਪੈਕੇਜ ਰਿਪੋਜ਼ਟਰੀ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਵਿੱਚ ਦੋ ਘਟਨਾਵਾਂ ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ ਹੈ। 2 ਨਵੰਬਰ ਨੂੰ, ਬੱਗ ਬਾਊਂਟੀ ਪ੍ਰੋਗਰਾਮ ਦੇ ਹਿੱਸੇ ਵਜੋਂ ਤੀਜੀ-ਧਿਰ ਦੇ ਸੁਰੱਖਿਆ ਖੋਜਕਰਤਾਵਾਂ (ਕਾਜੇਟਨ ਗ੍ਰਜ਼ੀਬੋਵਸਕੀ ਅਤੇ ਮੈਕੀਏਜ ਪੀਚੋਟਾ), ਨੇ NPM ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਇੱਕ ਕਮਜ਼ੋਰੀ ਦੀ ਮੌਜੂਦਗੀ ਦੀ ਰਿਪੋਰਟ ਕੀਤੀ ਜੋ ਤੁਹਾਨੂੰ ਤੁਹਾਡੇ ਖਾਤੇ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਕਿਸੇ ਵੀ ਪੈਕੇਜ ਦਾ ਨਵਾਂ ਸੰਸਕਰਣ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦੀ ਹੈ, ਜੋ ਅਜਿਹੇ ਅੱਪਡੇਟ ਕਰਨ ਲਈ ਅਧਿਕਾਰਤ ਨਹੀਂ ਹੈ।

ਕਮਜ਼ੋਰੀ ਮਾਈਕ੍ਰੋ ਸਰਵਿਸਿਜ਼ ਦੇ ਕੋਡ ਵਿੱਚ ਗਲਤ ਅਨੁਮਤੀ ਜਾਂਚਾਂ ਦੇ ਕਾਰਨ ਹੋਈ ਸੀ ਜੋ NPM ਨੂੰ ਬੇਨਤੀਆਂ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਦੇ ਹਨ। ਅਧਿਕਾਰ ਸੇਵਾ ਨੇ ਬੇਨਤੀ ਵਿੱਚ ਪਾਸ ਕੀਤੇ ਡੇਟਾ ਦੇ ਅਧਾਰ ਤੇ ਪੈਕੇਜ ਅਨੁਮਤੀ ਜਾਂਚਾਂ ਕੀਤੀਆਂ, ਪਰ ਇੱਕ ਹੋਰ ਸੇਵਾ ਜਿਸਨੇ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਅੱਪਡੇਟ ਅੱਪਲੋਡ ਕੀਤਾ, ਨੇ ਅੱਪਲੋਡ ਕੀਤੇ ਪੈਕੇਜ ਦੀ ਮੈਟਾਡੇਟਾ ਸਮੱਗਰੀ ਦੇ ਅਧਾਰ ਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਲਈ ਪੈਕੇਜ ਨੂੰ ਨਿਰਧਾਰਤ ਕੀਤਾ। ਇਸ ਤਰ੍ਹਾਂ, ਇੱਕ ਹਮਲਾਵਰ ਆਪਣੇ ਪੈਕੇਜ ਲਈ ਇੱਕ ਅੱਪਡੇਟ ਦੇ ਪ੍ਰਕਾਸ਼ਨ ਦੀ ਬੇਨਤੀ ਕਰ ਸਕਦਾ ਹੈ, ਜਿਸ ਤੱਕ ਉਸਦੀ ਪਹੁੰਚ ਹੈ, ਪਰ ਪੈਕੇਜ ਵਿੱਚ ਹੀ ਕਿਸੇ ਹੋਰ ਪੈਕੇਜ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦਿਓ, ਜੋ ਅੰਤ ਵਿੱਚ ਅੱਪਡੇਟ ਕੀਤੀ ਜਾਵੇਗੀ।

ਕਮਜ਼ੋਰੀ ਦੀ ਰਿਪੋਰਟ ਕੀਤੇ ਜਾਣ ਤੋਂ 6 ਘੰਟੇ ਬਾਅਦ ਇਸ ਮੁੱਦੇ ਨੂੰ ਹੱਲ ਕੀਤਾ ਗਿਆ ਸੀ, ਪਰ NPM ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਟੈਲੀਮੈਟਰੀ ਲੌਗ ਕਵਰ ਤੋਂ ਵੱਧ ਸਮੇਂ ਲਈ ਮੌਜੂਦ ਸੀ। GitHub ਦਾ ਦਾਅਵਾ ਹੈ ਕਿ ਸਤੰਬਰ 2020 ਤੋਂ ਬਾਅਦ ਇਸ ਕਮਜ਼ੋਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਹਮਲਿਆਂ ਦੇ ਕੋਈ ਨਿਸ਼ਾਨ ਨਹੀਂ ਮਿਲੇ ਹਨ, ਪਰ ਇਸ ਗੱਲ ਦੀ ਕੋਈ ਗਾਰੰਟੀ ਨਹੀਂ ਹੈ ਕਿ ਇਸ ਸਮੱਸਿਆ ਦਾ ਪਹਿਲਾਂ ਸ਼ੋਸ਼ਣ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ।

ਦੂਜੀ ਘਟਨਾ 26 ਅਕਤੂਬਰ ਦੀ ਹੈ। replicate.npmjs.com ਸੇਵਾ ਦੇ ਡੇਟਾਬੇਸ ਦੇ ਨਾਲ ਤਕਨੀਕੀ ਕੰਮ ਦੇ ਦੌਰਾਨ, ਬਾਹਰੀ ਬੇਨਤੀਆਂ ਲਈ ਪਹੁੰਚਯੋਗ ਡੇਟਾਬੇਸ ਵਿੱਚ ਗੁਪਤ ਡੇਟਾ ਦੀ ਮੌਜੂਦਗੀ ਪ੍ਰਗਟ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਸ ਨਾਲ ਪਰਿਵਰਤਨ ਲੌਗ ਵਿੱਚ ਜ਼ਿਕਰ ਕੀਤੇ ਅੰਦਰੂਨੀ ਪੈਕੇਜਾਂ ਦੇ ਨਾਵਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਗਟ ਕੀਤੀ ਗਈ ਸੀ। ਅਜਿਹੇ ਨਾਵਾਂ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੀ ਵਰਤੋਂ ਅੰਦਰੂਨੀ ਪ੍ਰੋਜੈਕਟਾਂ 'ਤੇ ਨਿਰਭਰਤਾ ਹਮਲਿਆਂ ਨੂੰ ਅੰਜਾਮ ਦੇਣ ਲਈ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ (ਫਰਵਰੀ ਵਿੱਚ, ਪੇਪਾਲ, ਮਾਈਕਰੋਸਾਫਟ, ਐਪਲ, ਨੈੱਟਫਲਿਕਸ, ਉਬੇਰ ਅਤੇ 30 ਹੋਰ ਕੰਪਨੀਆਂ ਦੇ ਸਰਵਰਾਂ 'ਤੇ ਇਸੇ ਤਰ੍ਹਾਂ ਦੇ ਹਮਲੇ ਨੇ ਕੋਡ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਸੀ)।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਵੱਡੇ ਪ੍ਰੋਜੈਕਟਾਂ ਦੇ ਰਿਪੋਜ਼ਟਰੀਆਂ ਨੂੰ ਹਾਈਜੈਕ ਕੀਤੇ ਜਾਣ ਅਤੇ ਖਤਰਨਾਕ ਡਿਵੈਲਪਰ ਖਾਤਿਆਂ ਦੁਆਰਾ ਪ੍ਰਮੋਟ ਕੀਤੇ ਜਾ ਰਹੇ ਖਤਰਨਾਕ ਕੋਡ ਦੇ ਮਾਮਲਿਆਂ ਦੀ ਵੱਧ ਰਹੀ ਗਿਣਤੀ ਦੇ ਕਾਰਨ, GitHub ਨੇ ਲਾਜ਼ਮੀ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਸ਼ੁਰੂ ਕਰਨ ਦਾ ਫੈਸਲਾ ਕੀਤਾ ਹੈ। ਇਹ ਤਬਦੀਲੀ 2022 ਦੀ ਪਹਿਲੀ ਤਿਮਾਹੀ ਵਿੱਚ ਲਾਗੂ ਹੋਵੇਗੀ ਅਤੇ ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਸੂਚੀ ਵਿੱਚ ਸ਼ਾਮਲ ਪੈਕੇਜਾਂ ਦੇ ਰੱਖ-ਰਖਾਅ ਕਰਨ ਵਾਲਿਆਂ ਅਤੇ ਪ੍ਰਸ਼ਾਸਕਾਂ 'ਤੇ ਲਾਗੂ ਹੋਵੇਗੀ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਇਹ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੇ ਆਧੁਨਿਕੀਕਰਨ ਬਾਰੇ ਦੱਸਿਆ ਗਿਆ ਹੈ, ਜਿਸ ਵਿੱਚ ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਦੀ ਸ਼ੁਰੂਆਤੀ ਖੋਜ ਲਈ ਪੈਕੇਜਾਂ ਦੇ ਨਵੇਂ ਸੰਸਕਰਣਾਂ ਦੀ ਸਵੈਚਲਿਤ ਨਿਗਰਾਨੀ ਅਤੇ ਵਿਸ਼ਲੇਸ਼ਣ ਪੇਸ਼ ਕੀਤਾ ਜਾਵੇਗਾ।

ਯਾਦ ਰੱਖੋ ਕਿ, 2020 ਵਿੱਚ ਕੀਤੇ ਗਏ ਇੱਕ ਅਧਿਐਨ ਦੇ ਅਨੁਸਾਰ, ਸਿਰਫ 9.27% ​​ਪੈਕੇਜ ਮੇਨਟੇਨਰ ਐਕਸੈਸ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ, ਅਤੇ 13.37% ਮਾਮਲਿਆਂ ਵਿੱਚ, ਨਵੇਂ ਖਾਤਿਆਂ ਨੂੰ ਰਜਿਸਟਰ ਕਰਨ ਵੇਲੇ, ਡਿਵੈਲਪਰਾਂ ਨੇ ਸਮਝੌਤਾ ਕੀਤੇ ਪਾਸਵਰਡਾਂ ਦੀ ਮੁੜ ਵਰਤੋਂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕੀਤੀ ਜੋ ਜਾਣਿਆ ਪਾਸਵਰਡ ਲੀਕ. ਇੱਕ ਪਾਸਵਰਡ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ ਦੇ ਦੌਰਾਨ, 12% NPM ਖਾਤਿਆਂ (ਪੈਕੇਜਾਂ ਦਾ 13%) ਅਨੁਮਾਨਿਤ ਅਤੇ ਮਾਮੂਲੀ ਪਾਸਵਰਡਾਂ ਜਿਵੇਂ ਕਿ “123456” ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਐਕਸੈਸ ਕੀਤੇ ਗਏ ਸਨ। ਸਮੱਸਿਆ ਵਾਲੇ ਲੋਕਾਂ ਵਿੱਚ ਚੋਟੀ ਦੇ 4 ਸਭ ਤੋਂ ਪ੍ਰਸਿੱਧ ਪੈਕੇਜਾਂ ਵਿੱਚੋਂ 20 ਉਪਭੋਗਤਾ ਖਾਤੇ, ਪ੍ਰਤੀ ਮਹੀਨਾ 13 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਵਾਰ ਡਾਊਨਲੋਡ ਕੀਤੇ ਪੈਕੇਜਾਂ ਵਾਲੇ 50 ਖਾਤੇ, ਪ੍ਰਤੀ ਮਹੀਨਾ 40 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਡਾਉਨਲੋਡਸ ਵਾਲੇ 10, ਅਤੇ ਪ੍ਰਤੀ ਮਹੀਨਾ 282 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਡਾਊਨਲੋਡਾਂ ਵਾਲੇ 1 ਖਾਤੇ ਸਨ। ਨਿਰਭਰਤਾ ਦੀ ਇੱਕ ਲੜੀ ਦੇ ਨਾਲ ਮੋਡਿਊਲਾਂ ਦੀ ਲੋਡਿੰਗ ਨੂੰ ਧਿਆਨ ਵਿੱਚ ਰੱਖਦੇ ਹੋਏ, ਗੈਰ-ਭਰੋਸੇਯੋਗ ਖਾਤਿਆਂ ਦਾ ਸਮਝੌਤਾ NPM ਵਿੱਚ ਸਾਰੇ ਮੋਡੀਊਲਾਂ ਦੇ 52% ਤੱਕ ਪ੍ਰਭਾਵਿਤ ਕਰ ਸਕਦਾ ਹੈ।

ਸਰੋਤ: opennet.ru