NPM逻辑缺陷可用于分发恶意包,触发供应链攻击

admin 2022年4月27日20:37:19安全新闻评论17 views2789字阅读9分17秒阅读模式

NPM逻辑缺陷可用于分发恶意包,触发供应链攻击 聚焦源代码安全,网罗国内外最新资讯!

编译:代码卫士团队


NPM逻辑缺陷可用于分发恶意包,触发供应链攻击


专栏·供应链安全

数字化时代,软件无处不在。软件如同社会中的“虚拟人”,已经成为支撑社会正常运转的最基本元素之一,软件的安全性问题也正在成为当今社会的根本性、基础性问题。


随着软件产业的快速发展,软件供应链也越发复杂多元,复杂的软件供应链会引入一系列的安全问题,导致信息系统的整体安全防护难度越来越大。近年来,针对软件供应链的安全攻击事件一直呈快速增长态势,造成的危害也越来越严重。


为此,我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯,分析供应链安全风险,提供缓解建议,为供应链安全保驾护航。


注:以往发布的部分供应链安全相关内容,请见文末“推荐阅读”部分。

NPM逻辑缺陷可用于分发恶意包,触发供应链攻击




研究员在Node.js JavaScript 运行时环境的默认程序包管理器NPM中发现了一个逻辑缺陷,可使恶意人员将恶意库当做合法库进行传递,并诱骗毫不知情的开发人员安装。该供应链威胁被称为“程序包植入”。
NPM逻辑缺陷可用于分发恶意包,触发供应链攻击
NPM逻辑缺陷可用于分发恶意包,触发供应链攻击

2月10日,研究员将缺陷告知NPM,后者在4月26日修复该缺陷。

Aqua 公司的安全研究员 Yakir Kadkoda 在当地时间本周二发布的报告中指出,“在此之前,在未通知用户或获得用户的同意的情况下,NPM允许将任何人员添加为程序包的管理员。”即,攻击者可创建恶意程序包并在受信任的热门维护人员不知情的情况下,将恶意程序包分配给他们。

恶意人员将与其它流行NPM库相关联的值得信赖的所有人加入受其控制的投毒程序包中,然后诱骗开发人员下载这些恶意包。

这类供应链攻击会产生严重后果。它不仅破坏了开发人员之间的信任,而且还损害了合法程序包维护人员的声誉。

研究人员在 NPM 平台上发现了另外两个和双因素认证机制相关的缺陷,它们可被滥用于账户接管并发布恶意程序包,之后他们发现了本文提到的逻辑缺陷。

研究人员指出,“主要问题在于,任何NPM 用户可执行次操作,将其它NPM用户添加为自己程序包的维护人员。最终,构建应用程序使用哪些开源程序包是由开发人员负责的。”




代码卫士试用地址:https://codesafe.qianxin.com/
开源卫士试用地址:https://oss.qianxin.com

NPM逻辑缺陷可用于分发恶意包,触发供应链攻击






推荐阅读

在线阅读版:《2021中国软件供应链安全分析报告》全文
《软件供应商手册:SBOM的生成和提供》解读
第三方XML解析器Expat有多个严重漏洞,IBM、Linux等纷纷打补丁
谷歌和GitHub 联手提出新方法,提振软件供应链安全
GitHub 突然封禁受制裁俄罗斯实体的开发人员账户
速修复!这个严重的 Apache Struts RCE 漏洞补丁不完整
NPM流行包再起波澜:维护人员对俄罗斯用户发特定消息,谁来保证开源可信?
热门Ruby 库中存在严重的命令注入漏洞
PHP包管理器PEAR 中爆多个缺陷可发动供应链攻击,已潜伏15年
FIN7 正在转向密码重置和软件供应链攻击
从主流安全开发框架看软件供应链安全保障的落地
速修复!这个严重的Zlib内存损坏漏洞已存在17年!
攻击者“完全自动化”发动NPM供应链攻击
Pwn2Own大赛回顾:利用开源服务中的严重漏洞,攻陷西部数据My Cloud PR4100
Node-ipc 热门包作者投毒“社死‘’,谁来保护开源软件供应链安全?
因供应商遭不明网络攻击,丰田汽车宣布停产
Linux Netfilter 防火墙模块爆新漏洞,攻击者可获取root权限
丰田汽车顶级供应商 Denso 疑遭勒索攻击,被威胁泄露商业机密
漏洞Dirty COW:影响Linux系统以及安卓设备
第三方支付处理厂商软件有漏洞,日本美容零售商Acro 10万支付卡信息遭攻击
Linux 内核 cgroups 新漏洞可导致攻击者逃逸容器
谷歌宣布 Linux Kernel、Kubernetes 0day 漏洞奖励加倍
Apache Cassandra 开源数据库软件修复高危RCE漏洞
2021年软件供应链攻击数量激增300%+
热门开源CMS平台 Umbraco 中存在多个安全漏洞,可使账户遭接管
详细分析开源软件项目 Ajax.NET Professional 中的RCE 漏洞(CVE-2021-23758)
SAP 严重漏洞可导致供应链攻击
Apache PLC4X开发者向企业下最后通牒:如不提供资助将停止支持
Apache 软件基金会:顶级项目仍使用老旧软件,补丁作用被削弱
美国商务部发布软件物料清单 (SBOM) 的最小元素(上)
美国商务部发布软件物料清单 (SBOM) 的最小元素(中)
美国商务部发布软件物料清单 (SBOM) 的最小元素(下)
NIST 发布关于使用“行政令-关键软件”的安全措施指南
NIST 按行政令关于加强软件供应链安全的要求,给出“关键软件”的定义及所含11类软件
SolarWinds 攻击者再次发动供应链攻击
美国“加强软件供应链安全实践的指南” (SSDF V1.1草案) 解读来了
软件供应链安全现状分析与对策建议
“木马源”攻击影响多数编程语言的编译器,将在软件供应链攻击中发挥巨大作用
GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞
流行的 NPM 包依赖关系中存在远程代码执行缺陷
速修复!热门npm 库 netmask 被曝严重的软件供应链漏洞,已存在9年
Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件
微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析
SolarWinds 供应链事件后,美国考虑实施软件安全评级和标准机制
找到软件供应链的薄弱链条
GitHub谈软件供应链安全及其重要性
揭秘新的供应链攻击:一研究员靠它成功入侵微软、苹果等 35 家科技公司
开源软件漏洞安全风险分析
开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析
集结30+漏洞 exploit,Gitpaste-12 蠕虫影响 Linux 和开源组件等
限时赠书|《软件供应链安全—源代码缺陷实例剖析》新书上市
热门开源CI/CD解决方案 GoCD 中曝极严重漏洞,可被用于接管服务器并执行任意代码
GitKraken漏洞可用于盗取源代码,四大代码托管平台撤销SSH密钥
因服务器配置不当,热门直播平台 Twitch 的125GB 数据和源代码被泄露
彪马PUMA源代码被盗,称客户数据不受影响



原文链接

https://thehackernews.com/2022/04/npm-bug-allowed-attackers-to-distribute.html


题图:Pixabay License



本文由奇安信编译,不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。




NPM逻辑缺陷可用于分发恶意包,触发供应链攻击
NPM逻辑缺陷可用于分发恶意包,触发供应链攻击

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

   NPM逻辑缺陷可用于分发恶意包,触发供应链攻击 觉得不错,就点个 “在看” 或 "” 吧~

原文始发于微信公众号(代码卫士):NPM逻辑缺陷可用于分发恶意包,触发供应链攻击

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年4月27日20:37:19
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  NPM逻辑缺陷可用于分发恶意包,触发供应链攻击 http://cn-sec.com/archives/952423.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: