تم الكشف عن "ثغرة أمنية" في NPM: مدير الحزم الافتراضي لبيئة تشغيل JavaScript Node.js، والتي تمكن الجهات الخبيثة من تمرير المكتبات الفاسدة على أنها شرعية وتخدع المطورين لتثبيتها.
أطلق عليها باحثون من شركة Aqua للأمن السحابي اسم "Package Planting".
وقال ياكير كادكودا في تقرير نُشر يوم الثلاثاء 26 أبريل 2022: "حتى وقت قريب، سمحت NPM بإضافة أي شخص كمشرف على الحزمة دون إخطار هؤلاء المستخدمين أو الحصول على موافقتهم".
هذا يعني بشكل فعال أن الخصم يمكنه إنشاء حزم بها برامج ضارة وتعيينها إلى مشرفين موثوقين وشائعين دون علمهم.
الفكرة هنا هي إضافة مالكي موثوق بهم مرتبطين بمكتبات NPM الشهيرة الأخرى إلى الحزمة المسمومة التي يتحكم فيها المهاجم على أمل أن يؤدي ذلك إلى جذب المطورين لتنزيلها.
عواقب مثل هذا الهجوم على سلسلة التوريد كبيرة لعدد من الأسباب. فهو لا يعطي إحساسًا زائفًا بالثقة بين المطورين فحسب، بل قد يؤدي أيضًا إلى إلحاق الضرر بسمعة القائمين على صيانة الحزم الشرعيين.
يأتي هذا الكشف في الوقت الذي كشفت فيه Aqua عن عيبين آخرين في منصة NPM تتعلق بالمصادقة الثنائية (2FA) والتي يمكن إساءة استخدامها لتسهيل هجمات الاستيلاء على الحساب ونشر حزم ضارة.
قال Kadkoda: "المشكلة الرئيسية هي أن أي مستخدم NPM يمكنه القيام بذلك وإضافة مستخدمين NPM آخرين كمشرفين على الحزمة الخاصة بهم".
يشار الى أن المطورون هم من يتحمل مسؤولية حزم المصادر المفتوحة التي يستخدمونها عند إنشاء التطبيقات.
- وزيرة الإسكان: إلزام المطورين بتقديم تقارير مالية وحساب بنكي مستقل لكل مشروع
- بنود إلزامية في العقود العقارية لإعادة التوازن بين العميل والمطور
- عقاريون: إنشاء اتحاد المطورين خطوة مهمة والتركيز على تنفيذ المشروعات الحل الأمثل لاستقرار السوق
- أول تحرك من "آبل" لإصلاح 29 ثغرة أمنية تضرب هواتف آيفون
- مفتي الجمهورية في الذكرى 53 لنصر أكتوبر: تجسد صفحة مضيئة من تاريخ مصر
