{"id":105307,"date":"2022-10-14T15:36:38","date_gmt":"2022-10-14T13:36:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah"},"modified":"2022-10-14T15:36:38","modified_gmt":"2022-10-14T13:36:38","slug":"ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/ataka-na-npm-pozvolyayushhaya-opredelit-nalichie-paketov-v-privatnyh-repozitoriyah","title":{"rendered":"Attack mot NPM som g\u00f6r det m\u00f6jligt att identifiera n\u00e4rvaron av paket i privata f\u00f6rr\u00e5d","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I NPM har en brist identifierats som g\u00f6r det m\u00f6jligt att avg\u00f6ra om paket finns i privata repositories. Problemet orsakas av olika reaktionstider vid beg\u00e4ran om ett existerande och ett icke-existerande paket av en extern anv\u00e4ndare som inte har tillg\u00e5ng till repositoryt. Om det saknas tillg\u00e5ng f\u00f6r eventuella paket i privata repositories returnerar servern registry.npmjs.org ett fel med koden \u00ab404\u00bb, men i h\u00e4ndelse av att ett paket med det beg\u00e4rda namnet existerar, uppst\u00e5r felet med en m\u00e4rkbar f\u00f6rdr\u00f6jning. En angripare kan utnyttja denna funktion f\u00f6r att avg\u00f6ra om ett paket finns vid gissningar av paketnamn fr\u00e5n ordb\u00f6cker. <\/p>\n
Att identifiera namn p\u00e5 paket i privata repositoryn kan kr\u00e4vas f\u00f6r att utf\u00f6ra en attack genom beroendeblandning, som manipulerar \u00f6verlappningen av namn p\u00e5 beroenden i offentliga och interna repositoryn. Genom att veta vilka interna NPM-paket som finns i f\u00f6retagsrepositoryn kan en angripare publicera paket med samma namn och nyare versionsnummer i den offentliga NPM-repositoryn. Om de interna biblioteken inte tydligt \u00e4r kopplade till sin repository i inst\u00e4llningarna, kommer pakethanteraren npm att anse att den offentliga repositoryn \u00e4r mer prioriterad och ladda ner paketet som angriparen f\u00f6rberett. <\/p>\n
GitHub informerades om problemet i mars, men v\u00e4grade att l\u00e4gga till skydd mot attacken med h\u00e4nvisning till arkitektoniska begr\u00e4nsningar. F\u00f6retag som anv\u00e4nder privata repositoryn rekommenderas att regelbundet kontrollera f\u00f6r \u00f6verlappande namn i den offentliga repositoryn eller att skapa stubbar i sitt namn med namn som upprepar namn p\u00e5 paket i privata repositoryn, s\u00e5 att illvilliga akt\u00f6rer inte kan publicera egna paket med \u00f6verlappande namn. \n K\u00e4lla: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"