No repositório de pacotes NPM, foi identificada uma vulnerabilidade de segurança que permite ao proprietário do pacote adicionar qualquer usuário à lista de mantenedores, sem obter o consentimento desse usuário e sem informá-lo sobre a ação. O problema é agravado pelo fato de que, após adicionar um usuário externo como mantenedor, o autor original do pacote pode se remover da lista de mantenedores, e o usuário externo permanece como a única pessoa responsável pelo pacote.
Criadores de pacotes maliciosos podiam explorar essa vulnerabilidade para adicionar desenvolvedores conhecidos ou grandes empresas como mantenedores, com o intuito de aumentar a confiança dos usuários e criar a ilusão de que desenvolvedores respeitados estavam responsabilizados pelo pacote, quando na verdade não tinham nenhuma relação com ele e nem sabiam de sua existência. Por exemplo, um atacante poderia publicar um pacote malicioso, mudar o mantenedor e convidar usuários a testar um novo desenvolvimento de uma grande empresa. A vulnerabilidade também poderia ser usada para difamar a reputação de certos desenvolvedores, apresentando-os como iniciadores de ações duvidosas e atividades maliciosas.
A empresa GitHub foi notificada sobre a vulnerabilidade no dia 10 de fevereiro e a corrigiu no npmjs.com em 26 de abril, introduzindo a confirmação obrigatória para o consentimento dos usuários ao se juntarem a outro projeto. Os desenvolvedores de um grande número de pacotes NPM foram aconselhados a verificar se não há vínculos nos pacotes que possuem que foram adicionados sem seu consentimento.
Fonte: opennet.ru
