ГитХуб је открио податке о хаковању НПМ инфраструктуре и идентификацији отворених лозинки у логовима

ГитХуб је објавио резултате анализе напада, услед чега су 12. априла нападачи добили приступ клауд окружењима у Амазон АВС сервису који се користи у инфраструктури НПМ пројекта. Анализа инцидента показала је да су нападачи добили приступ резервним копијама хоста скимдб.нпмјс.цом, укључујући резервну копију базе података са акредитивима за приближно 100 хиљада НПМ корисника од 2015. године, укључујући хешове лозинки, имена и е-пошту.

Хешови лозинки су креирани коришћењем сланих ПБКДФ2 или СХА1 алгоритама, који су 2017. замењени бцрипт отпорнијим на грубу силу. Када је инцидент идентификован, захваћене лозинке су ресетоване и корисници су обавештени да поставе нову лозинку. Будући да је обавезна двофакторска верификација са потврдом путем мејла укључена у НПМ од 1. марта, ризик од компромитовања корисника се оцењује као безначајан.

Поред тога, све датотеке манифеста и метаподаци приватних пакета од априла 2021., ЦСВ датотеке са ажурном листом свих имена и верзија приватних пакета, као и садржај свих приватних пакета два ГитХуб клијента (имена нису откривени) пао у руке нападачима. Што се самог спремишта тиче, анализа трагова и верификација хешева пакета није открила да нападачи мењају НПМ пакете или објављују фиктивне нове верзије пакета.

Напад се догодио 12. априла коришћењем украдених ОАутх токена генерисаних за два ГитХуб интегратора треће стране, Хероку и Травис-ЦИ. Користећи токене, нападачи су успели да извуку из приватних ГитХуб репозиторија кључ за приступ Амазон Веб Сервицес АПИ-ју, који се користи у инфраструктури НПМ пројекта. Добијени кључ је омогућио приступ подацима ускладиштеним у услузи АВС С3.

Поред тога, обелодањене су информације о раније идентификованим озбиљним проблемима поверљивости приликом обраде корисничких података на НПМ серверима – лозинке неких НПМ корисника, као и токени за НПМ приступ, чувани су у чистом тексту у интерним логовима. Током интеграције НПМ-а са ГитХуб системом евидентирања, програмери нису обезбедили да осетљиве информације буду уклоњене из захтева НПМ сервисима смештеним у дневник. Наводи се да је квар отклоњен и да су балвани очишћени пре напада на НПМ. Само одређени запослени на ГитХуб-у су имали приступ евиденцијама, које су укључивале јавне лозинке.

Извор: опеннет.ру