NPM 'ਤੇ ਇੱਕ ਹਮਲਾ ਜੋ ਤੁਹਾਨੂੰ ਨਿੱਜੀ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਪੈਕੇਜਾਂ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਸਹਾਇਕ ਹੈ

NPM ਵਿੱਚ ਇੱਕ ਨੁਕਸ ਪਛਾਣਿਆ ਗਿਆ ਹੈ ਜੋ ਤੁਹਾਨੂੰ ਬੰਦ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਪੈਕੇਜਾਂ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। ਇੱਕ ਤੀਜੀ ਧਿਰ ਜਿਸ ਕੋਲ ਰਿਪੋਜ਼ਟਰੀ ਤੱਕ ਪਹੁੰਚ ਨਹੀਂ ਹੈ, ਤੋਂ ਮੌਜੂਦਾ ਅਤੇ ਗੈਰ-ਮੌਜੂਦ ਪੈਕੇਜ ਦੀ ਬੇਨਤੀ ਕਰਨ ਵੇਲੇ ਇਹ ਮੁੱਦਾ ਵੱਖੋ-ਵੱਖਰੇ ਜਵਾਬ ਸਮੇਂ ਕਾਰਨ ਹੁੰਦਾ ਹੈ। ਜੇਕਰ ਪ੍ਰਾਈਵੇਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਕਿਸੇ ਪੈਕੇਜ ਲਈ ਕੋਈ ਪਹੁੰਚ ਨਹੀਂ ਹੈ, ਤਾਂ registry.npmjs.org ਸਰਵਰ ਕੋਡ “404” ਨਾਲ ਇੱਕ ਗਲਤੀ ਵਾਪਸ ਕਰਦਾ ਹੈ, ਪਰ ਜੇਕਰ ਬੇਨਤੀ ਕੀਤੇ ਨਾਮ ਵਾਲਾ ਇੱਕ ਪੈਕੇਜ ਮੌਜੂਦ ਹੈ, ਤਾਂ ਗਲਤੀ ਇੱਕ ਧਿਆਨ ਦੇਣ ਯੋਗ ਦੇਰੀ ਨਾਲ ਜਾਰੀ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇੱਕ ਹਮਲਾਵਰ ਸ਼ਬਦਕੋਸ਼ਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪੈਕੇਜ ਨਾਮਾਂ ਦੀ ਖੋਜ ਕਰਕੇ ਇੱਕ ਪੈਕੇਜ ਦੀ ਮੌਜੂਦਗੀ ਦਾ ਪਤਾ ਲਗਾਉਣ ਲਈ ਇਸ ਵਿਸ਼ੇਸ਼ਤਾ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦਾ ਹੈ।

ਨਿੱਜੀ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਪੈਕੇਜ ਨਾਮ ਨਿਰਧਾਰਤ ਕਰਨਾ ਇੱਕ ਨਿਰਭਰਤਾ ਮਿਸ਼ਰਣ ਹਮਲਾ ਕਰਨ ਲਈ ਜ਼ਰੂਰੀ ਹੋ ਸਕਦਾ ਹੈ ਜੋ ਜਨਤਕ ਅਤੇ ਅੰਦਰੂਨੀ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਨਿਰਭਰਤਾ ਨਾਮਾਂ ਦੇ ਇੰਟਰਸੈਕਸ਼ਨ ਨੂੰ ਬਦਲਦਾ ਹੈ। ਇਹ ਜਾਣਨਾ ਕਿ ਕਾਰਪੋਰੇਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਕਿਹੜੇ ਅੰਦਰੂਨੀ NPM ਪੈਕੇਜ ਮੌਜੂਦ ਹਨ, ਇੱਕ ਹਮਲਾਵਰ ਜਨਤਕ NPM ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਸਮਾਨ ਨਾਮਾਂ ਅਤੇ ਨਵੇਂ ਸੰਸਕਰਣ ਨੰਬਰਾਂ ਵਾਲੇ ਪੈਕੇਜ ਰੱਖ ਸਕਦਾ ਹੈ। ਜੇਕਰ ਅਸੈਂਬਲੀ ਦੇ ਦੌਰਾਨ ਅੰਦਰੂਨੀ ਲਾਇਬ੍ਰੇਰੀਆਂ ਨੂੰ ਸੈਟਿੰਗਾਂ ਵਿੱਚ ਉਹਨਾਂ ਦੀ ਰਿਪੋਜ਼ਟਰੀ ਨਾਲ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਲਿੰਕ ਨਹੀਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ npm ਪੈਕੇਜ ਮੈਨੇਜਰ ਜਨਤਕ ਰਿਪੋਜ਼ਟਰੀ ਨੂੰ ਉੱਚ ਤਰਜੀਹ ਮੰਨੇਗਾ ਅਤੇ ਹਮਲਾਵਰ ਦੁਆਰਾ ਤਿਆਰ ਕੀਤੇ ਪੈਕੇਜ ਨੂੰ ਡਾਊਨਲੋਡ ਕਰੇਗਾ।

GitHub ਨੂੰ ਮਾਰਚ ਵਿੱਚ ਸਮੱਸਿਆ ਬਾਰੇ ਸੂਚਿਤ ਕੀਤਾ ਗਿਆ ਸੀ ਪਰ ਆਰਕੀਟੈਕਚਰਲ ਸੀਮਾਵਾਂ ਦਾ ਹਵਾਲਾ ਦਿੰਦੇ ਹੋਏ ਹਮਲੇ ਦੇ ਵਿਰੁੱਧ ਸੁਰੱਖਿਆ ਜੋੜਨ ਤੋਂ ਇਨਕਾਰ ਕਰ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਪ੍ਰਾਈਵੇਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਕੰਪਨੀਆਂ ਨੂੰ ਸਮੇਂ-ਸਮੇਂ 'ਤੇ ਜਨਤਕ ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਓਵਰਲੈਪਿੰਗ ਨਾਮਾਂ ਦੀ ਦਿੱਖ ਦੀ ਜਾਂਚ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਜਾਂ ਨਿੱਜੀ ਰਿਪੋਜ਼ਟਰੀਆਂ ਵਿੱਚ ਪੈਕੇਜਾਂ ਦੇ ਨਾਵਾਂ ਨੂੰ ਦੁਹਰਾਉਣ ਵਾਲੇ ਨਾਵਾਂ ਨਾਲ ਉਹਨਾਂ ਦੀ ਤਰਫੋਂ ਸਟੱਬ ਬਣਾਉਣ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਤਾਂ ਜੋ ਹਮਲਾਵਰ ਆਪਣੇ ਪੈਕੇਜਾਂ ਨੂੰ ਓਵਰਲੈਪਿੰਗ ਨਾਵਾਂ ਨਾਲ ਨਾ ਰੱਖ ਸਕਣ।

ਸਰੋਤ: opennet.ru