Node.js प्रसारण: Google इंजीनियरों ने NPM स्क्रिप्ट में भेद्यता पाई

Node.js डेवलपर्स, अपने जोखिम पर `npm install` कमांड चलाते हैं और याद रखें कि स्व-प्रसार कीड़ा स्वतंत्र रूप से पारिस्थितिकी तंत्र के आसपास चलता है।

आप कभी भी यह नहीं मान सकते कि इंटरनेट से डाउनलोड की गई कोई फ़ाइल सुरक्षित है। यह NPM, मानक Node.js पैकेज प्रबंधक के लिए सही है। स्क्रिप्ट स्थापित करने में भेद्यता एक हमलावर को स्व-प्रचारित कीड़ा बनाने की अनुमति देती है जो एनपीएम पैकेट से गुजर सकती है।


Google डेवलपर सैम सकोनी अपने लेख "एक्सपोज़िंग एनपीएम हाइड्रा" में लिखते हैं, "ऐसा इसलिए संभव है क्योंकि एक एनपीएम पैकेज आसानी से अधिकांश पारिस्थितिकी तंत्र से गुजर सकता है।"

अन्य पैकेज प्रबंधकों की तरह, एनपीएम "जीवनचक्र" लिपियों का समर्थन करता है जिसे वर्तमान उपयोगकर्ता के रूप में सिस्टम में बाहरी कमांड द्वारा निष्पादित किया जा सकता है। यद्यपि ये स्क्रिप्ट अक्सर उपयोगी होती हैं और इनका उपयोग संस्थापन प्रक्रिया के बाद फाइलों को साफ करने के लिए किया जाता है, बाइनरी मॉड्यूल को संकलित करना और स्वचालित रूप से कॉन्फ़िगरेशन फ़ाइलें बनाना, वे एक ही समय में खतरनाक हो सकते हैं, क्योंकि वे विभिन्न कमांडों को निष्पादित करते समय सिस्टम में कोई भी बदलाव कर सकते हैं।
आधिकारिक एनपीएम ब्लॉग पर एक लेख में लिखा है, "यह संभव है कि एनपीएम पैकेज इंस्टॉलेशन के दौरान दुर्भावनापूर्ण इरादे से लिखे गए हों, जो अन्य पैकेजों में एम्बेडेड स्क्रिप्ट्स को निष्पादित करते हैं, जो रजिस्ट्री में प्रकाशित होते हैं और उपयोगकर्ता द्वारा बनाए गए अन्य पैकेजों में प्रकाशित होते हैं।" हालांकि, कंपनी की रिपोर्ट है कि इन लिपियों का उपयोग करने के लाभ संभावित खतरे के जोखिम को कम करते हैं।

पोस्ट जोखिम को कम करता है और उन पैकेजों पर ध्यान आकर्षित करता है जो "बहुत शुरुआत से साफ हैं", लेकिन उनमें से सभी "एक सौ प्रतिशत" इस बात से निश्चित हैं। सकोनी का लेख, कुछ वर्कअराउंड को छोड़कर, यह स्पष्ट नहीं करता है कि यह कैसे सुनिश्चित किया जाए कि उपयोगकर्ता जो पैकेज इंस्टॉल करते हैं, वे वे नहीं होंगे जिनकी उन्हें उम्मीद थी।

"एनपीएम गारंटी नहीं दे सकता है कि उनके पैकेज की रजिस्ट्री सुरक्षित है," लेख नोट करता है।

पैकेट निर्भरता के माध्यम से कृमि रिसता है

कृमि एनपीएम में तीन संभावनाओं का लाभ उठाता है: सिमेंटिक वर्जनिंग (सेवर), एक केंद्रीकृत रजिस्ट्री में प्रकाशन, और स्वचालित रूप से लॉग इन करने वाले उपयोगकर्ता के लिए विशेषाधिकार। क्योंकि उपयोगकर्ता मैन्युअल रूप से लॉग इन होने तक अधिकृत रहता है। जो कोई भी लॉग इन करता है और इंस्टॉलेशन चलाता है वह अन्य मॉड्यूल को विभिन्न प्रकार के कमांड निष्पादित करने की अनुमति देता है। जब तक विशिष्ट संस्करणों के लिए कोई बंधन नहीं होता है, पैकेजों को नए संस्करणों में अपग्रेड किया जा सकता है, और उनमें से प्रत्येक कोड को निष्पादित कर सकता है। और अंत में, वे केंद्रीय रजिस्ट्री सर्वर को पैकेज भेज सकते हैं, जहां से अन्य उन्हें स्थापित कर सकते हैं।

कृमि का हमला प्रारंभिक संक्रमण के लिए सोशल इंजीनियरिंग पर निर्भर करता है और उपरोक्त "सुधार" पारिस्थितिकी तंत्र के आसपास स्वतंत्र रूप से आगे बढ़ सकता है।

सबसे पहले, हमलावर एनपीएम पैकेज के मालिक को अपने सिस्टम पर संक्रमित पैकेज को स्थापित करने के लिए ट्रिक करता है। यह फ़िशिंग या कोई अन्य समान हमला हो सकता है। एक बार स्थापित होने के बाद, यह एनपीएम मॉड्यूल के मालिक के पैकेज का "ट्रोजन" संस्करण बनाता है और जहां भी यह स्थापित होता है, वहां कृमि को लॉन्च करने के लिए एक हुक सेट करता है। मालिक के खाते पर प्रकाशित संशोधित मॉड्यूल उसके सभी पैकेजों के संक्रमण के लिए शुरुआती बिंदु बन जाता है, जो ट्रोजन मॉड्यूल को एक निर्भरता के रूप में लॉन्च करता है। कृमि खाते में "बगफिक्स" के साथ मॉड्यूल के नए संस्करण बनाता है, और अब, जब यह स्थापित होता है, तो स्व-प्रचार कोड निष्पादित किया जा सकता है।

एक उदाहरण के लिए। फोनगैप में 463 मध्यवर्ती निर्भरताएं हैं। और 276 व्यक्तिगत एनपीएम खाते अपने पैकेज के संस्करणों को अपडेट कर सकते हैं। अब इन 276 में से सिर्फ एक व्यक्ति कीड़ा जड़ी के लिए पर्याप्त है जो फोनगैप परियोजना से पैकेज स्थापित करने वाले सभी को संक्रमित करता रहेगा।

एनपीएम डेनिस रिस्क्स

जबकि छेद बंद नहीं किया गया है, संयुक्त राज्य अमेरिका के कंप्यूटर इमरजेंसी रेडीनेस टीम की भेद्यता पर एक नोट खतरे को कम करने के लिए कई समाधानों पर प्रकाश डालता है। जब वे नई निर्भरताएँ स्थापित करते हैं, तो वे '' nign- स्क्रिप्ट्स '' विकल्प का उपयोग करते हैं, `npm-compresswrap` के साथ नज़दीकी संस्करण, और उन उपयोगकर्ताओं को प्रोत्साहित करते हैं जिनके मॉड्यूल स्वयं NPM से लगातार अनलिंक किए जाते हैं।

अपने वातावरण में एनपीएम का उपयोग करने वाले संगठनों को एक स्थानीय एनपीएम रजिस्ट्री दर्पण चलाना चाहिए और व्यक्तिगत उपयोगकर्ताओं को मुख्य रजिस्ट्री से निर्भरता स्थापित करने से सीधे रोकना चाहिए। उन्हें नियमित रूप से स्थानीय रजिस्ट्री की जांच करनी चाहिए और सुनिश्चित करना चाहिए कि दुर्भावनापूर्ण फाइलें निर्भरता की सूची में नहीं हैं।

सकोनी ने टोकन की समय सीमा समाप्त करने और उपयोगकर्ताओं को एक निश्चित अवधि के बाद एनपीएम छोड़ने के लिए मजबूर करने की सिफारिश की। एक ब्लॉग पोस्ट में, कंपनी ने इन सिफारिशों का वर्णन नहीं किया, लेकिन जोखिमों को कम करने के लिए अन्य समाधानों की घोषणा की।

एक विचार मॉड्यूल के प्रकाशन को जटिल करना है, यदि उपयोगकर्ता खतरे से अवगत नहीं है, तो यह दो-कारक प्रमाणीकरण हो सकता है। आप अभी भी उन कंपनियों के साथ काम कर सकते हैं जो सुरक्षा प्रदान करती हैं, मॉड्यूल की जांच करने के लिए बाद की पेशकश करती हैं, लेकिन अभी तक यह संभव नहीं है। फिलहाल, कंपनी अक्सर अपडेट किए गए पैकेजों की निगरानी करती है, क्योंकि कृमि को नए संस्करणों के बहुत लगातार रिलीज द्वारा पता लगाया जा सकता है, लेकिन वे उन उपयोगकर्ताओं पर अधिक भरोसा करते हैं जो स्वयं संदिग्ध पैकेजों की सूचना देंगे।

"निस्संदेह, अगर कई उपयोगकर्ता सामूहिक रूप से संगीत कार्यक्रम में दुर्भावनापूर्ण पैकेज प्रकाशित करने का प्रयास करते हैं, तो वे एनपीएम रजिस्ट्री में उपलब्ध होंगे," ब्लॉग ने कहा।

भरोसा करें लेकिन सत्यापन करें

एनपीएम के लिए यह कुछ दिनों के लिए मुश्किल होगा। दुर्भावनापूर्ण प्रकाशित पैकेजों की पहचान उनकी "एच्लीस हील" है। रजिस्ट्री से हटाए गए पैकेज के प्रबंधक द्वारा विनियमन के विषय पर वर्तमान बहस में। पिछले हफ्ते एनपीएम से एक पैकेज के डेवलपर द्वारा हटाया गया, जिससे उस पर निर्भर कई परियोजनाएं टूट गईं। रिमोट मॉड्यूल के नाम के तहत अपना कोड दर्ज करना भी काफी सरल है। जिस किसी ने किसी और का नाम सौंपा है, वह किसी भी उपयोगकर्ता को कोड सेट कर सकता है, जो मूल पर निर्भर करता है।

पिछले कुछ दिनों में, Reddit और GitHub डेवलपर्स में विश्वास के बारे में बहुत चर्चा कर रहे हैं, उनके द्वारा बनाए गए पैकेजों का समर्थन, और क्या वे दुर्भावनापूर्ण कोड बनाना शुरू करेंगे। वैश्विक पारिस्थितिकी तंत्र में, यह एक खतरनाक धारणा है, क्योंकि यदि कोई ऐसा डेवलपर बहुत सारे कोड को तोड़ना चाहता है, तो उसे पूरे समुदाय का सामना करना होगा। हालांकि, मॉड्यूल को सुरक्षित रूप से स्थापित करने के तरीके होने चाहिए, यह एक डिजिटल हस्ताक्षर या सुरक्षा और शुद्धता के लिए कोड की जांच करने के अन्य तरीके हो सकते हैं। इस बीच, यह हर बार अलार्म को महसूस करने के लिए रहता है जब आप `एनपीएम इंस्टॉल` कमांड चलाते हैं।

मूल लेख: www.infoworld.com/article/3048526/security/nodejs-alert-google-engineer-finds-flaw-in-npm-scripts.html

Source: https://habr.com/ru/post/hi392409/