0x00 漏洞概述

　　近日，GitHub公開披露了在npm中發(fā)現(xiàn)并已修復(fù)的2個(gè)安全漏洞，攻擊者可利用該漏洞發(fā)起針對(duì)性的依賴混淆攻擊和域名搶注，或者未經(jīng)授權(quán)更新任何npm包的新版本。

　　0x01 漏洞詳情

　　npm是 Node.js 的包管理工具，用來安裝各種 Node.js 的擴(kuò)展，后被GitHub收購。

　　GitHub本次公開披露的兩個(gè)漏洞是近兩個(gè)月在npm中發(fā)現(xiàn)的，第一個(gè)漏洞為信息泄露漏洞，第二個(gè)漏洞為授權(quán)漏洞，詳情如下：

　　npm信息泄露漏洞

　　該漏洞是npmjs的復(fù)制服務(wù)器上的數(shù)據(jù)泄漏，這是由 “日常維護(hù) ”造成的，導(dǎo)致暴露了私有npm包的名稱列表，但在維護(hù)窗口期間，這些包的內(nèi)容并沒有暴露。

　　當(dāng)在為Replication.npmjs.com 上的公共 npm 副本提供支持的數(shù)據(jù)庫進(jìn)行維護(hù)期間，創(chuàng)建的記錄可能會(huì)暴露私有包的名稱，雖然私有包的內(nèi)容沒有暴露，但這些名稱信息足以讓攻擊者以自動(dòng)化的方式進(jìn)行有針對(duì)性的依賴混淆攻擊和域名搶注。

　　雖然目前所有包含私有包名稱的記錄已經(jīng)從 npm 的復(fù)制數(shù)據(jù)庫中刪除，但replicate.npmjs.com 服務(wù)仍被第三方使用，因此第三方可能會(huì)繼續(xù)保留副本或可能已將數(shù)據(jù)復(fù)制到其他地方。因此，GitHub已經(jīng)對(duì)其生成公共復(fù)制數(shù)據(jù)庫的過程進(jìn)行了修改，以在未來消除私人軟件包名稱泄露問題。

　　npm授權(quán)漏洞

　　此漏洞源于處理對(duì)npm注冊(cè)表的請(qǐng)求的多個(gè)微服務(wù)之間不正確的授權(quán)檢查和數(shù)據(jù)驗(yàn)證，導(dǎo)致授權(quán)和發(fā)布的軟件包存在差異。攻擊者可以在沒有適當(dāng)授權(quán)的情況下使用賬戶發(fā)布任何npm包的新版本。

　　GitHub表示該漏洞目前尚未被惡意利用，并且已經(jīng)通過確保發(fā)布服務(wù)和授權(quán)服務(wù)的一致性來緩解這個(gè)問題，以確保授權(quán)和發(fā)布使用的是同一個(gè)軟件包。

　　此外，流行的npm庫 “ua-parser-js”、“coa ”和 “rc ”之前在一系列攻擊中被劫持，目的是用木馬和加密礦工感染開源軟件消費(fèi)者。據(jù) GitHub 稱，這些流行庫的維護(hù)者都沒有在他們的帳戶上啟用雙因素身份驗(yàn)證 （2FA），因此，為避免這種情況再次發(fā)生，GitHub將要求 npm 維護(hù)人員在2022 年開始啟用2FA。

　　0x02 處置建議

　　目前這些漏洞已經(jīng)修復(fù)，建議相關(guān)用戶注意防范此類攻擊。

　　參考鏈接：

　　https://github.blog/2021-11-15-githubs-commitment-to-npm-ecosystem-security/

　　0x03 參考鏈接

　　https://github.blog/2021-11-15-githubs-commitment-to-npm-ecosystem-security/

　　https://www.bleepingcomputer.com/news/security/npm-fixes-private-package-names-leak-serious-authorization-bug/

　　https://securityaffairs.co/wordpress/124671/security/github-npm-package-flaws.html?

　　0x04 附錄

　　公司簡介

　　啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內(nèi)最具實(shí)力的信息安全產(chǎn)品和安全管理平臺(tái)、安全服務(wù)與解決方案的領(lǐng)航企業(yè)之一。

　　公司總部位于北京市中關(guān)村軟件園，在全國各省、市、自治區(qū)設(shè)立分支機(jī)構(gòu)六十多個(gè)，擁有覆蓋全國的銷售體系、渠道體系和技術(shù)支持體系；并在華北、華東、西南和華南布局四大研發(fā)中心，分別為北京研發(fā)總部、上海研發(fā)中心、成都研發(fā)中心和廣州研發(fā)中心。

　　多年來，啟明星辰致力于提供具有國際競爭力的自主創(chuàng)新的安全產(chǎn)品和最佳實(shí)踐服務(wù)，幫助客戶全面提升其IT基礎(chǔ)設(shè)施的安全性和生產(chǎn)效能，為打造和提升國際化的民族信息安全產(chǎn)業(yè)領(lǐng)軍品牌而不懈努力。