ਲੇਜਰ NPM ਰਿਪੋਜ਼ਟਰੀ ਨਾਲ ਸਮਝੌਤਾ ਕਰਨ ਨਾਲ ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਸ਼ਾਮਲ ਕੀਤੀਆਂ ਗਈਆਂ

ਲੇਜਰ ਕੰਪਨੀ, ਜੋ ਕਿ ਉਸੇ ਨਾਮ ਦੇ ਹਾਰਡਵੇਅਰ ਕ੍ਰਿਪਟੋ ਵਾਲਿਟ ਤਿਆਰ ਕਰਦੀ ਹੈ, ਨੇ ਆਪਣੀ NPM ਰਿਪੋਜ਼ਟਰੀ ਦੇ ਸਮਝੌਤਾ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦਾ ਖੁਲਾਸਾ ਕੀਤਾ ਹੈ, ਜਿਸ ਨਾਲ ਲੇਜਰ ਕਨੈਕਟ ਕਿੱਟ JavaScript ਲਾਇਬ੍ਰੇਰੀ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਸ਼ੁਰੂਆਤ ਹੋਈ, ਜਿਸਨੂੰ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ। ਕ੍ਰਿਪਟੋ ਵਾਲਿਟ. ਹਮਲਾਵਰ ਕਨੈਕਟ ਕਿੱਟ ਦੇ ਫਰਜ਼ੀ ਸੰਸਕਰਣਾਂ ਨੂੰ ਜਾਰੀ ਕਰਨ ਵਿੱਚ ਕਾਮਯਾਬ ਰਹੇ, ਜਿਸ ਵਿੱਚ ਕੋਡ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ ਸੀ ਜੋ ਪੀੜਤ ਦੇ ਕ੍ਰਿਪਟੋ ਵਾਲਿਟ ਤੋਂ ਫੰਡ ਟ੍ਰਾਂਸਫਰ ਕਰਨ ਲਈ ਧੋਖਾਧੜੀ ਵਾਲੇ ਲੈਣ-ਦੇਣ ਨੂੰ ਬਦਲਦਾ ਸੀ।

ਖਤਰਨਾਕ ਕੋਡ ਕਨੈਕਟ ਕਿੱਟ ਸੰਸਕਰਣ 1.1.5, 1.1.6 ਅਤੇ 1.1.7 ਵਿੱਚ ਵੰਡਿਆ ਗਿਆ ਸੀ, ਅਤੇ ਜਾਇਜ਼ ਅੱਪਡੇਟ 1.1.8 ਵਿੱਚ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਇੱਕ ਫਿਸ਼ਿੰਗ ਹਮਲੇ ਦੌਰਾਨ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ NPM ਰਿਪੋਜ਼ਟਰੀ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਸ ਦੇ ਨਤੀਜੇ ਵਜੋਂ ਉਹ ਸਾਬਕਾ ਲੇਜਰ ਕਰਮਚਾਰੀਆਂ ਵਿੱਚੋਂ ਇੱਕ ਦੇ ਖਾਤੇ ਦੇ ਮਾਪਦੰਡਾਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੇ ਯੋਗ ਸਨ। ਹਮਲੇ ਦੀ ਸਫਲਤਾ ਦੇ ਕਾਰਨਾਂ ਵਿੱਚ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਤੋਂ ਬਿਨਾਂ ਰੀਲੀਜ਼ਾਂ ਨੂੰ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਦੀ ਯੋਗਤਾ, ਬਰਖਾਸਤ ਕਰਮਚਾਰੀ ਨੂੰ ਪਹੁੰਚ ਅਧਿਕਾਰਾਂ ਨੂੰ ਛੱਡਣਾ, ਅਤੇ ਇੱਕ ਸਮੱਗਰੀ ਡਿਲੀਵਰੀ ਨੈਟਵਰਕ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਸ਼ਾਮਲ ਹੈ ਜੋ ਲਾਇਬ੍ਰੇਰੀ ਦੇ ਇੱਕ ਖਾਸ ਪ੍ਰਮਾਣਿਤ ਸੰਸਕਰਣ ਵਿੱਚ ਲਾਕ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦਾ ਹੈ (ਐਪਲੀਕੇਸ਼ਨ ਹਮੇਸ਼ਾ ਦਾ ਨਵੀਨਤਮ ਸੰਸਕਰਣ ਵਰਤਿਆ)।

ਸਮਝੌਤਾ ਖੋਜਣ ਤੋਂ ਪਹਿਲਾਂ ਅਤੇ ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਜਾਅਲੀ ਲਾਇਬ੍ਰੇਰੀ ਰੀਲੀਜ਼ 5 ਘੰਟਿਆਂ ਲਈ ਡਾਊਨਲੋਡ ਕਰਨ ਲਈ ਉਪਲਬਧ ਸੀ, ਪਰ ਲੇਜਰ ਦੇ ਅਨੁਸਾਰ, ਵਾਪਸੀ ਦੇ ਹਮਲੇ ਦਾ ਅਸਲ ਸਮਾਂ ਦੋ ਘੰਟੇ ਦੇ ਅੰਤਰਾਲ ਤੱਕ ਸੀਮਿਤ ਸੀ। ਪੀੜਤ ਦੇ ਵਾਲਿਟ ਵਿੱਚ ਫੰਡਾਂ ਨੂੰ ਰੀਡਾਇਰੈਕਟ ਕਰਨ ਲਈ, ਹਮਲੇ ਵਿੱਚ WalletConnect ਸੇਵਾ ਵਿੱਚ ਇੱਕ ਜਾਅਲੀ ਪ੍ਰੋਜੈਕਟ ਸ਼ਾਮਲ ਸੀ, ਜੋ ਵਰਤਮਾਨ ਵਿੱਚ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਹੈ। ਸੁਤੰਤਰ ਖੋਜਕਰਤਾ ਜ਼ੈਚਐਕਸਬੀਟੀ ਦੇ ਅਨੁਸਾਰ, ਹਮਲੇ ਦੌਰਾਨ ਹਮਲਾਵਰ ਪੀੜਤਾਂ ਦੇ ਕ੍ਰਿਪਟੋ ਵਾਲਿਟ ਤੋਂ ਘੱਟੋ-ਘੱਟ $610 ਹਜ਼ਾਰ ਚੋਰੀ ਕਰਨ ਵਿੱਚ ਕਾਮਯਾਬ ਰਹੇ। Revoke.cash ਸੇਵਾ ਦੇ ਅਨੁਸਾਰ, ਕਨੈਕਟ ਕਿੱਟ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੀਆਂ ਵੱਖ-ਵੱਖ ਸਾਈਟਾਂ ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਦੁਆਰਾ 850 ਹਜ਼ਾਰ ਡਾਲਰ ਤੋਂ ਵੱਧ ਦਾ ਨੁਕਸਾਨ ਹੋਇਆ ਹੈ।

ਇਸ ਮੁੱਦੇ ਨੇ ਸਿਰਫ ਲੇਜਰ ਕਨੈਕਟ ਕਿੱਟ ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਥਰਡ-ਪਾਰਟੀ ਵਿਕੇਂਦਰੀਕ੍ਰਿਤ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨਾਂ (DApps) ਦੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ, ਅਤੇ ਲੇਜਰ ਹਾਰਡਵੇਅਰ ਵਾਲਿਟ ਜਾਂ ਲੇਜਰ ਲਾਈਵ ਐਪਲੀਕੇਸ਼ਨ ਦੀ ਇਕਸਾਰਤਾ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਨਹੀਂ ਕੀਤਾ। ਸਮਝੌਤਾ ਕਰਨ ਵਾਲੇ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਅਜਿਹੇ ਹਮਲਿਆਂ ਦੀ ਸੰਭਾਵਨਾ ਨੂੰ ਘਟਾਉਣ ਲਈ, NPM ਵਿੱਚ ਕਨੈਕਟ ਕਿੱਟ ਪ੍ਰੋਜੈਕਟ ਭਾਗੀਦਾਰਾਂ ਦੇ ਖਾਤਿਆਂ ਨੂੰ ਰੀਡ-ਓਨਲੀ ਮੋਡ ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਅਤੇ ਹੋਟਲ ਡਿਵੈਲਪਰਾਂ ਦੁਆਰਾ ਇੱਕ NPM ਪੈਕੇਜ ਦੀ ਸਿੱਧੀ ਪੋਸਟ ਕਰਨ ਦੀ ਮਨਾਹੀ ਸੀ। GitHub ਰਿਪੋਜ਼ਟਰੀ ਵਿੱਚ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰਨ ਲਈ ਸਾਰੀਆਂ ਕੁੰਜੀਆਂ ਨੂੰ ਵੀ ਅੱਪਡੇਟ ਕੀਤਾ ਗਿਆ ਹੈ।

ਸਰੋਤ: opennet.ru