GitHub a implementat măsuri de securitate mai stricte pentru publicarea de pachete npm, potrivit The Hacker News. Plataforma va expira configurațiile de publicare nevalidate după 48 de ore, în urma unui raport care a dezvăluit că atacatorii puteau prelua versiuni noi ale pachetelor altor utilizatori fără a fura acreditări. Cercetători de la Bloom Security au identificat o vulnerabilitate în mecanismul de publicare de încredere al npm, care se baza pe adrese de depozitor în loc de identificatori imutabili.
Atacul, numit SlugFest, exploata faptul că sistemul de trust era ancorat pe un nume de depozitor și nu pe un ID permanent. Atunci când un menteiner redenumea, transfera sau șterge un depozitor, orice altcineva putea revendica slug-ul disponibil și moșten trustul existent. Cercetătorii au descoperit peste 1.500 de pachete vulnerabile, descărcate colectiv de mai mult de 10 milioane de ori.
Noile restricții includ validarea configurațiilor după prima publicare reușită și rejectarea tokenilor de publicare de încredere din anumite tipuri de evenimente GitHub Actions. Dezvoltatorii sunt sfătuiți să verifice setările de publicare de încredere și să controleze accesul la depozitoare.
Sursa: The Hacker News.
Verifică gratuit expunerea ta cibernetică pe CYBER3.AI, platforma românească de securitate cibernetică.
