Ново изследване откри над 800 пакета в регистъра npm, които имат несъответствия в записите си в регистъра, като за 18 от тях беше установено, че използват техника, наречена объркване на манифести.

Констатациите идват от фирмата за киберсигурност JFrog, която заяви, че проблемът може да бъде използван от  заплахи, за да подмамят разработчиците да стартират зловреден код.

„Това е действителна заплаха, тъй като разработчиците могат да бъдат подмамени да изтеглят пакети, които изглеждат невинни, но чиито скрити зависимости всъщност са злонамерени“, заяви пред The Hacker News изследователят по сигурността Андрей Полковниченко.

Объркването на манифестите е документирано за първи път през юли 2023 г., когато изследователят по сигурността Дарси Кларк установява, че несъответствията в метаданните на манифестите и пакетите могат да бъдат използвани като оръжие за организиране на атаки по веригата за доставка на софтуер.

Проблемът произтича от факта, че регистърът на npm не проверява дали съдържащият се в тарбала манифестен файл (package.json) съвпада с манифестните данни, предоставени на сървъра на npm по време на процеса на публикуване чрез HTTP PUT заявка към крайната точка package URI.

В резултат на това  заплахата може да се възползва от тази липса на кръстосана проверка, за да предостави различен манифест, съдържащ скрити зависимости, който се обработва по време на инсталирането на пакета, за да инсталира незабелязано злонамерени зависимости в системата на разработчика.

„Видимият или „фалшив“ манифест може да заблуди разработчиците и дори инструментите за одит, които разчитат на данните, налични в базата данни на регистъра npm“, казва JFrog. „В действителност инсталаторът взема файла package.json от тарбала, който може да е различен от видимия, предоставен в HTTP PUT заявката.“

Компанията заяви, че е идентифицирала повече от 800 пакета, при които е имало несъответствие между манифеста в регистъра npm и файла package.json в тарбала.

Макар че много от тези несъответствия са резултат от разлики в спецификациите на протоколите или вариации в раздела за скриптове на файла на пакета, за 18 от тях се казва, че са били създадени, за да се използва объркването на манифеста.

Забележителен пакет, за който става дума, е yatai-web-ui, който е проектиран да изпраща HTTP заявка към сървър с информация за IP адреса на машината, на която е инсталиран пакетът.

Констатациите показват, че векторът на атаката изглежда никога не е бил използван от  заплахите. Въпреки това е изключително важно разработчиците да предприемат стъпки, за да гарантират, че пакетите не съдържат подозрително поведение.

„Тъй като този проблем не е бил разрешен от npm, да се доверявате на пакетите само по това как изглеждат на уебсайта на npm, може да е рисковано“, каза Полковниченко.

„Организациите трябва да въведат процедури, с които да проверяват дали всички пакети, които влизат в организацията или се използват от техните екипи по разработване, са безопасни и дали може да им се има доверие. Конкретно в случая на объркване на манифести е необходимо всеки пакет да се анализира, за да се види дали има скрити зависимости.“