GitHub ужесточила правила публикации npm-пакетов из-за уязвимости
Изображение: OpenAI
GitHub ужесточила правила публикации пакетов в npm из-за уязвимости, которая позволяла злоумышленникам выпускать новые версии чужих пакетов без кражи учётных данных, сообщает The Hacker News. Теперь неподтверждённые настройки доверенной публикации перестают действовать через 48 часов после создания, если за это время не состоялась первая успешная публикация.
Исследователи Bloom Security обнаружили более 1500 уязвимых пакетов, суммарно загруженных более 10 млн раз. Они подтвердили возможность атаки на собственном пакете. Использовали ли уязвимость злоумышленники, исследователи не знают.
Ошибка затрагивала привязки к репозиториям GitHub, через которые ещё не выпускали версии пакета. До первой публикации реестр npm проверял только сочетание имени владельца и названия репозитория, игнорируя его постоянный числовой идентификатор. Если прежний адрес репозитория освобождался, а привязка оставалась, злоумышленник мог занять этот адрес и выпустить вредоносную версию чужого пакета.
После первой успешной публикации npm привязывает настройки к неизменяемому идентификатору репозитория, и 48-часовое ограничение снимается. Смена репозитория требует новой привязки с новым 48-часовым сроком подтверждения.
Авторам пакетов рекомендуют проверить, что указанные в настройках доверенной публикации репозитории всё ещё находятся под их контролем. Привязки к переименованным или перенесённым репозиториям следует удалить и создать заново с актуальным адресом. Перед удалением репозитория привязку тоже нужно удалить.
