Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Атака на NPM, позволяющая определить наличие пакетов в приватных репозиториях"	+/–
Сообщение от opennews (??), 14-Окт-22, 12:24
В NPM выявлена недоработка, позволяющая определить существование пакетов в закрытых репозиториях. Проблема вызвана разным временем реакции при запросе существующего и несуществующего пакета сторонним пользователем, не имеющего доступа к репозиторию. При отсутствии доступа для любых пакетов в приватных репозиториях сервер возвращает ошибку с кодом "404", но в случае существования пакета с запрошенным именем ошибка выдаётся с ощутимой задержкой. Атакующий может использовать данную особенность для определения наличия пакета при подборе имён пакетов по словарям... Подробнее: https://www.opennet.me/opennews/art.shtml?num=57918
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 14-Окт-22, 12:24	+/–
Осталось узнать как техникой перебора узнать какие пакеты есть в приватном репозитории.
Ответить | Правка | Наверх | Cообщить модератору

2. Сообщение от Аноним (2), 14-Окт-22, 12:26	+/–
> сервер возвращает ошибку с кодом "404" Автор, какой сервер? Этих npm-серверов...
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #37, #46

3. Сообщение от Аноним (3), 14-Окт-22, 12:28	+/–
>Проблема вызвана разным временем реакции при запросе существующего и несуществующего пакета сторонним пользователем Сразу подумал, как прочитал заголовок.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #11

5. Сообщение от Аноним (3), 14-Окт-22, 12:39	–3 +/–
>GitHub был уведомлен о проблеме в марте, но отказался добавлять защиту от атаки, сославшись на архитектурные ограничения. Вообще очень непросто защититься от такого. Это вся стандартная архитектура с базами данных сразу становится неприемлима, и возникает необходимость в специализированной дополнительной базе данных на основе иерархической хеш-таблицы с 4 операциями: запросить таблицу по ключу, безопасно проверить наличие значения в таблице по ключу, удалить значение в таблице, удалить таблицу по ключу. Получается что-то вроде реестра Windows.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6, #12, #50

6. Сообщение от Аноним (3), 14-Окт-22, 12:42	+/–
>Вообще очень непросто защититься от такого. А вообще - просто. Нужно просто на сервере измерять время операций и замедлять слишком быстрые. Подход универсален, совместим с любыми базами с поддержкой транзакций, легко интегрируется в любые базы путём добавления одного поля метаданных с верхней границей времени.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #7

7. Сообщение от Аноним (3), 14-Окт-22, 12:44	+/–
Кто-нибудь, запилите фичу для популярных баз.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #34

10. Сообщение от Аноним (10), 14-Окт-22, 13:38	+/–
Просто комитить зависимости
Ответить | Правка | Наверх | Cообщить модератору

11. Сообщение от Аноним (11), 14-Окт-22, 13:40	+/–
Задержка - это ещё ладно. Главное - в другом: > пакетный менеджер npm посчитает более приоритетным публичный репозиторий и загрузит подготовленный атакующим пакет. О_о... Привет всяким карго! > GitHub был уведомлен о проблеме в марте, но отказался добавлять защиту от атаки. Отказался закрыть дырищщу?! Это кто же заказал её?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #24, #28

12. Сообщение от Аноним (11), 14-Окт-22, 13:43	+1 +/–
Очень просто: поменять приоритет публичных и локальных репов.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #40

14. Сообщение от Аноним (14), 14-Окт-22, 14:16	+/–
Надо просто взять все популярные имена зависимостей и разместить, да и все, зачем все выяснять? :) Раз оно такое тупое, что вытянет самое новое откуда угодно.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17

17. Сообщение от Аноним (17), 14-Окт-22, 14:52	+/–
Он упадет если нет депендесни. Надо сначала проверить.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14

24. Сообщение от Адмирал Майкл Роджерс (?), 14-Окт-22, 16:40	+1 +/–
> Это кто же заказал её? Насколько я могу судить на основании своего прошлого опыта, информация такого рода, как правило, не разглашается.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11

27. Сообщение от Аноним (27), 14-Окт-22, 16:57	+/–
Но ведь сначала должны проверяться права доступа. Как тогда доходит до проверки наличия или отсутствия файлов? 🤔
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #30

28. Сообщение от Бывалый смузихлёб (?), 14-Окт-22, 17:29	–2 +/–
Если какой-то балда додумался ссылаться к собственным пакетам просто по именам, то очевидно что система будет по возможности лезть в сеть и тянуть последнюю актуальную версию где бы та ни находилась если в правилах к пакету указано "тянуть свежайшую версию" Для каких-то сильно внутренних пакетов есть много других вариантов - вплоть до просто прямой ссылки на пакет Это не столько баг, сколько забивание гвоздей монитором с последующим невероятным удивлением что ему пришёл конец
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #29

29. Сообщение от Аноним (11), 14-Окт-22, 17:32	+2 +/–
> очевидно что система будет по возможности лезть в сеть Для какой балды это очевидно?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #48

30. Сообщение от Аноним (11), 14-Окт-22, 17:34	+/–
они всё наоборот делают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

32. Сообщение от Аноним (32), 14-Окт-22, 18:04	+/–
> В NPM выявлена недоработка... Да ладно, серьёзно!?
Ответить | Правка | Наверх | Cообщить модератору

33. Сообщение от AKTEON (?), 14-Окт-22, 18:11	+1 +/–
А может быть просто не надо тянуть свежие версии из публичных репозиториев без аудита ??
Ответить | Правка | Наверх | Cообщить модератору

34. Сообщение от Аноним (34), 14-Окт-22, 18:29	+/–
Thread.Sleep(Math.Random(500)); В продакшен!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #41

37. Сообщение от Аноним (-), 14-Окт-22, 18:40	+/–
Не знаю.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

38. Сообщение от Igraine (ok), 14-Окт-22, 19:27	–1 +/–
В npm можно свой user-scope или organization-scope создать тогда никто не сможет загрузить пакеты с вашим именем. Или просто загрузить пакеты с тем же именем
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #39

39. Сообщение от pashev.ru (?), 14-Окт-22, 19:38	+/–
Какое дело честному человеку до левых репозиториев?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #42

40. Сообщение от Аноним (3), 14-Окт-22, 20:02	+/–
Проблема в том, что само название пакета и его существование может быть коммерческой тайной.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

41. Сообщение от Аноним (3), 14-Окт-22, 20:04	+1 +/–
Thread.Sleep(4); // chosen by fair dice roll, guaranteed to be random тогда
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

42. Сообщение от Аноним (42), 14-Окт-22, 21:15	+1 +/–
Какое дело честному человеку до репозиториев?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39

45. Сообщение от darkshvein (ok), 14-Окт-22, 23:33	+/–
нет NPM, нет и атак
Ответить | Правка | Наверх | Cообщить модератору

46. Сообщение от Аноним (46), 15-Окт-22, 01:51	–1 +/–
https://registry.npmjs.org/ Скопировал из первой ссылки в новости, хотя это и так было очевидно
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

48. Сообщение от Бывалый смузихлёб (?), 15-Окт-22, 08:18	+/–
Итак, есть система, заточенная на работу с глобальным репозиторием в первую очередь Есть «просто пакет», у него есть просто название и версия Где, по возможности, подобная система будет искать «просто пакет» с просто версией, тем более что названия внутренних и внешних пакетов запросто могут пересекаться ? Если нужны какие-то исключительно локальные пакеты, то там нередко идёт прямая ссылка на пакет( будь то гит например или даже локально, на каталог пакета ) во избежание множества чудес и улучшения переносимости проекта( если какие-то мелкие пакеты были допилены исключительно под конкретный проект, то их нередко и в рамках проекта держат, из проекта же они и ставятся по ссылке )
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #51

50. Сообщение от Аноним (50), 15-Окт-22, 10:43	+/–
>Вообще очень непросто защититься от такого Конечно, это очень непросто проверить наличие у юзера прав доступа до поиска а не после.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5

51. Сообщение от Аноним (11), 18-Окт-22, 05:32	+/–
А потом удивляемся дырам из-за таких смузихлёбов. Дыры by design.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема