Det har upptÀckts en brist i NPM som gör det möjligt att avgöra om paket finns i privata repositoryn. Problemet orsakas av olika svarstider nÀr en anvÀndare utan Ätkomst begÀr ett existerande och ett icke-existerande paket. Om det inte finns nÄgon Ätkomst till nÄgra paket i de privata repositoryn, returnerar servern registry.npmjs.org ett fel med kod "404", men om paketet med det begÀrda namnet existerar, ges ett fel med en mÀrkbar fördröjning. En angripare kan utnyttja denna egenskap för att faststÀlla nÀrvaron av ett paket genom att pröva namn pÄ paket frÄn ordböcker.
Att identifiera namn pÄ paket i privata repositoryn kan krÀvas för att utföra en attack genom beroendeblandning, som manipulerar överlappningen av namn pÄ beroenden i offentliga och interna repositoryn. Genom att veta vilka interna NPM-paket som finns i företagsrepositoryn kan en angripare publicera paket med samma namn och nyare versionsnummer i den offentliga NPM-repositoryn. Om de interna biblioteken inte tydligt Àr kopplade till sin repository i instÀllningarna, kommer pakethanteraren npm att anse att den offentliga repositoryn Àr mer prioriterad och ladda ner paketet som angriparen förberett.
GitHub informerades om problemet i mars, men vÀgrade att lÀgga till skydd mot attacken med hÀnvisning till arkitektoniska begrÀnsningar. Företag som anvÀnder privata repositoryn rekommenderas att regelbundet kontrollera för överlappande namn i den offentliga repositoryn eller att skapa stubbar i sitt namn med namn som upprepar namn pÄ paket i privata repositoryn, sÄ att illvilliga aktörer inte kan publicera egna paket med överlappande namn.
KĂ€lla: opennet.ru
