GitHub har publicerat resultaten från en analys av en attack där angripare den 12 april fick tillgång till molnmiljöer inom Amazon AWS som används i infrastrukturen för NPM-projektet. Analysen av händelsen visade att angriparna fick tillgång till säkerhetskopior av värden skimdb.npmjs.com, inklusive en säkerhetskopia av databasen med användardata för cirka 100 000 NPM-användare från 2015, vilket inkluderar hashade lösenord, namn och e-postadresser.
De hashade lösenorden genererades med hjälp av algoritmerna PBKDF2 eller SHA1 med salt, som 2017 ersattes med det mer motståndskraftiga bcrypt. Efter att händelsen upptäcktes har de påverkade lösenorden återställts, och användarna har fått meddelande om att de måste sätta ett nytt lösenord. Eftersom obligatorisk tvåfaktorsautentisering med e-postbekräftelse har införts i NPM från och med den 1 mars bedöms risken för användarkompromiss som obetydlig.
Dessutom kom angriparna över alla manifestfiler och metadata för privata paket senast i april 2021, CSV-filer med en aktuell lista över alla namn och versioner av privata paket, samt innehållet i alla privata paket från två GitHub-kunder (namnen avslöjas inte). När det gäller själva arkivet visade analys av spår och verifiering av hashade paket att inga ändringar gjorts av angriparna i NPM-paket och inga falska nya versioner publicerades.
Attacken genomfördes den 12 april med hjälp av stulna OAuth-token som genererades för två tredjepartsintegrationer med GitHub - Heroku och Travis-CI. Genom att utnyttja dessa token kunde angriparna extrahera en nyckel för åtkomst till Amazon Web Services API från privata GitHub-repo, som används i infrastrukturen för NPM-projektet. Den erhållna nyckeln gav dem tillgång till data som lagrades i AWS S3-tjänsten.
Ytterligare uppgifter har avslöjats om tidigare identifierade allvarliga integritetsproblem vid hanteringen av användardata. servrar NPM — i interna loggar sparades användarlösenord och åtkomsttoken för vissa NPM-användare i klartext. Vid integrationen av NPM med GitHubs logghanteringssystem försäkrade utvecklarna sig inte om att känslig information klipptes bort från loggfiler som innehöll förfrågningar till NPM-tjänster. Det hävdas att bristen har åtgärdats och att loggarna rengjordes innan attacken mot NPM. Endast vissa anställda på GitHub hade tillgång till loggarna, som inkluderade öppna lösenord.
Källa: opennet.ru
