Търсене
Close this search box.

Над 800 npm пакети с несъответствия

Ново изследване откри над 800 пакета в регистъра npm, които имат несъответствия в записите си в регистъра, като за 18 от тях беше установено, че използват техника, наречена объркване на манифести.

Констатациите идват от фирмата за киберсигурност JFrog, която заяви, че проблемът може да бъде използван от  заплахи, за да подмамят разработчиците да стартират зловреден код.

„Това е действителна заплаха, тъй като разработчиците могат да бъдат подмамени да изтеглят пакети, които изглеждат невинни, но чиито скрити зависимости всъщност са злонамерени“, заяви пред The Hacker News изследователят по сигурността Андрей Полковниченко.

Объркването на манифестите е документирано за първи път през юли 2023 г., когато изследователят по сигурността Дарси Кларк установява, че несъответствията в метаданните на манифестите и пакетите могат да бъдат използвани като оръжие за организиране на атаки по веригата за доставка на софтуер.

Проблемът произтича от факта, че регистърът на npm не проверява дали съдържащият се в тарбала манифестен файл (package.json) съвпада с манифестните данни, предоставени на сървъра на npm по време на процеса на публикуване чрез HTTP PUT заявка към крайната точка package URI.

В резултат на това  заплахата може да се възползва от тази липса на кръстосана проверка, за да предостави различен манифест, съдържащ скрити зависимости, който се обработва по време на инсталирането на пакета, за да инсталира незабелязано злонамерени зависимости в системата на разработчика.

„Видимият или „фалшив“ манифест може да заблуди разработчиците и дори инструментите за одит, които разчитат на данните, налични в базата данни на регистъра npm“, казва JFrog. „В действителност инсталаторът взема файла package.json от тарбала, който може да е различен от видимия, предоставен в HTTP PUT заявката.“

Manifest Confusion

Компанията заяви, че е идентифицирала повече от 800 пакета, при които е имало несъответствие между манифеста в регистъра npm и файла package.json в тарбала.

Макар че много от тези несъответствия са резултат от разлики в спецификациите на протоколите или вариации в раздела за скриптове на файла на пакета, за 18 от тях се казва, че са били създадени, за да се използва объркването на манифеста.

Забележителен пакет, за който става дума, е yatai-web-ui, който е проектиран да изпраща HTTP заявка към сървър с информация за IP адреса на машината, на която е инсталиран пакетът.

Констатациите показват, че векторът на атаката изглежда никога не е бил използван от  заплахите. Въпреки това е изключително важно разработчиците да предприемат стъпки, за да гарантират, че пакетите не съдържат подозрително поведение.

„Тъй като този проблем не е бил разрешен от npm, да се доверявате на пакетите само по това как изглеждат на уебсайта на npm, може да е рисковано“, каза Полковниченко.

„Организациите трябва да въведат процедури, с които да проверяват дали всички пакети, които влизат в организацията или се използват от техните екипи по разработване, са безопасни и дали може да им се има доверие. Конкретно в случая на объркване на манифести е необходимо всеки пакет да се анализира, за да се види дали има скрити зависимости.“

 

Източник: The Hacker News

Подобни публикации

16 април 2024

CISA издаде извънредна директива

На 11 април Агенцията за киберсигурност и инфраструктурна сигурност...
15 април 2024

CP3O е арестуван

Министерството на правосъдието на САЩ обяви ареста и повдигането на...
15 април 2024

Daixin Team ransomware е атакувала успешно Omni...

Бандата Daixin Team ransomware е извършила неотдавнашна кибератака ...
15 април 2024

За проблемите с работната сила в сферата киберс...

  За проблемите с работната сила в сферата киберсигурността в ...
15 април 2024

КНДР се възползва от 2 подтехники: Призрачно от...

Този месец MITRE ще добави две подтехники към своята база данни ATT...
15 април 2024

Хакер твърди, че е пробил Giant Tiger и пусна 2...

Канадската верига за търговия на дребно Giant Tiger разкрива наруше...
14 април 2024

MuddyWater приемат нов C2 инструмент "DarkBeatC...

Иранският участник в заплахите, известен като MuddyWater, е причисл...
Бъдете социални
Още по темата
15/04/2024

Хакер твърди, че е пробил G...

Канадската верига за търговия на дребно...
13/04/2024

На федералните агенции на С...

В четвъртък Агенцията за киберсигурност и...
10/04/2024

AT&T твърди, че пробива...

AT&T уведомява 51 милиона бивши и...
Последно добавени
16/04/2024

CISA издаде извънредна дире...

На 11 април Агенцията за киберсигурност...
15/04/2024

CP3O е арестуван

Министерството на правосъдието на САЩ обяви...
15/04/2024

Daixin Team ransomware е ат...

Бандата Daixin Team ransomware е извършила...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!