【漏洞通告】GitHub修复npm中的两个宁静漏洞
宣布时间 2021-11-170x00 漏洞概述
近日，GitHub果然披露了在npm中发现并已修复的2个宁静漏洞，攻击者可利用该漏洞提倡针对性的依赖混淆攻击和域名抢注，或者未经授权更新任何npm 包的新版本。
0x01 漏洞详情
npm是 Node.js 的保证理工具，用来安装种种 Node.js 的扩展，后被GitHub收购。
GitHub本次果然披露的两个漏洞是近两个月在npm中发现的，第一个漏洞为信息泄露漏洞，第二个漏洞为授权漏洞，详情如下：
npm信息泄露漏洞
该漏洞是npmjs的复制服务器上的数据泄漏，这是由 "日常维护 "造成的，导致袒露了私有npm包的名称列表，但在维护窗口期间，这些包的内容并没有袒露。
当在为Replication.npmjs.com 上的公共 npm 副本提供支持的数据库进行维护期间，创建的记录可能会袒露私有包的名称，虽然私有包的内容没有袒露，但这些名称信息足以让攻击者以自动化的方式进行有针对性的依赖混淆攻击和域名抢注。
虽然目前所有包罗私有包名称的记录已经从 npm 的复制数据库中删除，但replicate.npmjs.com 服务仍被第三方使用，因此第三方可能会继续保留副本或可能已将数据复制到其他地方。GitHub已经对其生成公共复制数据库的过程进行了修改，以在未来消除私人软件包名称泄露问题。
npm授权漏洞
此漏洞源于处置对npm注册表的请求的多个微服务之间不正确的授权检查和数据验证，导致授权和宣布的软件包存在差异。攻击者可以在没有适当授权的情况下使用账户宣布任何npm包的新版本。
GitHub体现该漏洞目前尚未被恶意利用，而且已经通过确保宣布服务和授权服务的一致性来缓解这个问题，以确保授权和宣布使用的是同一个软件包。
此外，流行的npm库 "ua-parser-js"、"coa "和 "rc "之前在一系列攻击中被劫持，目的是用木马和加密矿工熏染开源软件消费者。据 GitHub 称，这些流行库的维护者都没有在他们的账户上启用双因素身份验证 (2FA)，因此，为制止这种情况再次发生，GitHub将要求 npm 维护人员在 2022 年开始启用2FA。
0x02 处置建议
目前这些漏洞已经修复，建议相关用户注意防范此类攻击。
参考链接：
https://github.blog/2021-11-15-githubs-commitment-to-npm-ecosystem-security/
0x03 参考链接
https://github.blog/2021-11-15-githubs-commitment-to-npm-ecosystem-security/
https://www.bleepingcomputer.com/news/security/npm-fixes-private-package-names-leak-serious-authorization-bug/
https://securityaffairs.co/wordpress/124671/security/github-npm-package-flaws.html?
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-11-17 | 首次宣布 |
0x05 附录
抖圈为赌而生简介
抖圈为赌而生公司建立于1996年，并于2010年6月23日在深交所中小板正式挂牌上市，是国内最具实力的信息宁静产物和宁静管理平台、宁静服务与解决方案的领航企业之一。
公司总部位于北京市中关村软件园，在全国各省、市、自治区设立分支机构六十多个，拥有笼罩全国的销售体系、渠道体系和技术支持体系；并在华北、华东、西南和华南结构四大研发中心，分别为北京研发总部、上海研发中心、成都研发中心和广州研发中心。
多年来，抖圈为赌而生致力于提供具有国际竞争力的自主创新的宁静产物和最佳实践服务，资助客户全面提升其IT基础设施的宁静性和生产效能，为打造和提升国际化的民族信息宁静工业领军品牌而不懈努力。
关于抖圈为赌而生
抖圈为赌而生宁静应急响应中心主要针对重要宁静漏洞的预警、跟踪和分享全球最新的威胁情报和宁静陈诉。
关注以下公众号，获取全球最新宁静资讯：
京公网安备11010802024551号