{"id":105307,"date":"2022-10-14T15:36:38","date_gmt":"2022-10-14T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah"},"modified":"2022-10-14T15:36:38","modified_gmt":"2022-10-14T13:36:38","slug":"ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","title":{"rendered":"Atak na NPM, umo\u017cliwiaj\u0105ca wykrycie pakiet\u00f3w w prywatnych repozytoriach","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
W NPM zidentyfikowano problem, kt\u00f3ry pozwala na ustalenie istnienia pakiet\u00f3w w prywatnych repozytoriach. Problem ten wynika z r\u00f3\u017cnego czasu reakcji podczas \u017c\u0105dania istnienia pakietu przez zewn\u0119trznego u\u017cytkownika, kt\u00f3ry nie ma dost\u0119pu do repozytorium. W przypadku braku dost\u0119pu do jakichkolwiek pakiet\u00f3w w prywatnych repozytoriach, serwer registry.npmjs.org zwraca b\u0142\u0105d o kodzie 404, jednak w przypadku istnienia pakietu o \u017c\u0105danej nazwie, b\u0142\u0105d generowany jest z wyra\u017anym op\u00f3\u017anieniem. Napastnik mo\u017ce wykorzysta\u0107 t\u0119 cech\u0119 do ustalenia istnienia pakietu poprzez typowanie nazw pakiet\u00f3w z u\u017cyciem s\u0142ownik\u00f3w. <\/p>\n
Okre\u015blenie nazw pakiet\u00f3w w zamkni\u0119tych repozytoriach mo\u017ce by\u0107 konieczne do przeprowadzenia ataku poprzez mieszanie zale\u017cno\u015bci, manipuluj\u0105cego przeci\u0119ciem nazw zale\u017cno\u015bci w publicznych i wewn\u0119trznych repozytoriach. Znaj\u0105c, kt\u00f3re wewn\u0119trzne pakiety NPM s\u0105 obecne w korporacyjnych repozytoriach, napastnik mo\u017ce publikowa\u0107 pakiety o tych samych nazwach i nowszych wersjach w publicznym repozytorium NPM. Je\u015bli podczas kompilacji wewn\u0119trzne biblioteki nie s\u0105 wyra\u017anie przypisane w ustawieniach do swojego repozytorium, mened\u017cer pakiet\u00f3w npm uzna publiczne repozytorium za bardziej priorytetowe i pobierze przygotowany przez napastnika pakiet. <\/p>\n
GitHub zosta\u0142 powiadomiony o problemie w marcu, ale odm\u00f3wi\u0142 dodania ochrony przed atakiem, powo\u0142uj\u0105c si\u0119 na ograniczenia architektoniczne. Firmom korzystaj\u0105cym z prywatnych repozytori\u00f3w zaleca si\u0119 okresowe sprawdzanie wyst\u0119powania pokrywaj\u0105cych si\u0119 nazw w publicznym repozytorium lub stworzenie pod swoim nazwiskiem atrap o nazwach powtarzaj\u0105cych nazwy pakiet\u00f3w w prywatnych repozytoriach, aby przest\u0119pcy nie mogli publikowa\u0107 swoich pakiet\u00f3w o pokrywaj\u0105cych si\u0119 nazwach. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"