{"id":105307,"date":"2022-10-14T15:36:38","date_gmt":"2022-10-14T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah"},"modified":"2022-10-14T15:36:38","modified_gmt":"2022-10-14T13:36:38","slug":"ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","title":{"rendered":"Ataque ao NPM que permite determinar a presen\u00e7a de pacotes em reposit\u00f3rios privados","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
No NPM foi identificada uma falha que permite determinar a exist\u00eancia de pacotes em reposit\u00f3rios privados. O problema \u00e9 causado por diferentes tempos de resposta ao solicitar um pacote existente e um n\u00e3o existente por um usu\u00e1rio externo que n\u00e3o tem acesso ao reposit\u00f3rio. Na aus\u00eancia de acesso para quaisquer pacotes em reposit\u00f3rios privados, o servidor registry.npmjs.org retorna um erro com o c\u00f3digo 404, mas, no caso de exist\u00eancia de um pacote com o nome solicitado, o erro \u00e9 gerado com um atraso consider\u00e1vel. Um atacante pode usar essa caracter\u00edstica para detectar a presen\u00e7a de um pacote ao testar nomes de pacotes a partir de dicion\u00e1rios. <\/p>\n
A identifica\u00e7\u00e3o de nomes de pacotes em reposit\u00f3rios privados pode ser necess\u00e1ria para realizar um ataque por meio do 'dependency confusion', manipulando a interse\u00e7\u00e3o de nomes de depend\u00eancias em reposit\u00f3rios p\u00fablicos e internos. Sabendo quais pacotes NPM internos est\u00e3o presentes em reposit\u00f3rios corporativos, um atacante pode publicar pacotes com os mesmos nomes e vers\u00f5es mais recentes em um reposit\u00f3rio p\u00fablico NPM. Se, durante a constru\u00e7\u00e3o, as bibliotecas internas n\u00e3o forem explicitamente vinculadas em suas configura\u00e7\u00f5es ao seu reposit\u00f3rio, o gerenciador de pacotes npm considerar\u00e1 o reposit\u00f3rio p\u00fablico como de maior prioridade e ir\u00e1 baixar o pacote preparado pelo atacante. <\/p>\n
O GitHub foi notificado sobre o problema em mar\u00e7o, mas se recusou a implementar prote\u00e7\u00e3o contra o ataque, citando limita\u00e7\u00f5es arquitet\u00f4nicas. As empresas que utilizam reposit\u00f3rios privados s\u00e3o aconselhadas a monitorar periodicamente a emerg\u00eancia de nomes sobrepostos em reposit\u00f3rios p\u00fablicos ou a criar, em seu nome, 'stubs' com nomes que repetem os nomes de pacotes em reposit\u00f3rios privados, para que os invasores n\u00e3o possam publicar seus pacotes com nomes sobrepostos. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"