Напад на НПМ који вам омогућава да утврдите присуство пакета у приватним репозиторијумима

У НПМ-у је идентификован недостатак који вам омогућава да откријете постојање пакета у затвореним репозиторијумима. Проблем је узрокован различитим временима одговора када се захтева постојећи и непостојећи пакет од треће стране која нема приступ спремишту. Ако нема приступа за било који пакет у приватним репозиторијумима, сервер регистри.нпмјс.орг враћа грешку са кодом „404“, али ако пакет са траженим именом постоји, грешка се издаје са приметним закашњењем. Нападач може да користи ову функцију да утврди присуство пакета претрагом назива пакета користећи речнике.

Одређивање имена пакета у приватним репозиторијумима може бити неопходно за извођење напада мешања зависности који манипулише пресеком имена зависности у јавним и интерним спремиштима. Знајући који интерни НПМ пакети су присутни у корпоративним репозиторијумима, нападач може да постави пакете са истим именима и новијим бројевима верзија у јавно НПМ спремиште. Ако током састављања интерне библиотеке нису експлицитно повезане са својим спремиштем у подешавањима, нпм менаџер пакета ће сматрати да је јавно спремиште већи приоритет и преузеће пакет који је припремио нападач.

ГитХуб је обавештен о проблему у марту, али је одбио да дода заштиту од напада, наводећи архитектонска ограничења. Компанијама које користе приватна спремишта се препоручује да повремено проверавају појаву преклапајућих имена у јавном спремишту или да у њихово име креирају стубове са именима која понављају имена пакета у приватним репозиторијумима, тако да нападачи не могу да поставе своје пакете са именима који се преклапају.

Извор: опеннет.ру