GitHub يشدد نشر npm الموثوق بعد ثغرة SlugFest التي كشفت 1 500 حزمة

تستجيب GitHub لثغرة نشر npm الموثوق

فرض GitHub مهلة 48 ساعة لإعدادات نشر npm الموثوق غير المتحقق منها بعد أن اكتشف باحثو Bloom Security ثغرة تركت أكثر من 1 500 حزمة عرضة للاختطاف. وبحسب التغييرات، يجب على إعداد ناشر موثوق جديد إكمال أول عملية نشر ناجحة خلال يومين، وبعد ذلك يتم التحقق من الإعداد وربطه بمعرّف ID غير قابل للتغيير للمستودع.

كيف كان يعمل هجوم SlugFest

يتيح النشر الموثوق، الذي بدأ في يوليو 2025، للمطورين نشر الحزم من منصات CI/CD باستخدام رموز OIDC قصيرة الأجل بدلاً من أسرار طويلة الأجل. ومع ذلك، كانت npm تتحقق في البداية فقط من slug المستودع واسم المالك واسم المستودع، وتتجاهل الرقم الثابت الذي تعينه GitHub كـ ID. عندما يقوم المستخدم بإعادة تسمية مستودع أو نقله أو حذفه، يصبح slug متاحًا لأي شخص. وكان بإمكان المهاجم إنشاء مستودع على slug تحرر، وتشغيل workflow النشر، والحصول على رمز نشر صالح لحزمة لا يملكها. وكان هذا الهجوم، المعروف باسم SlugFest، يمكنه نشر نسخة خبيثة تحت اسم حزمة شرعية والسطو على سمعتها وعدد تنزيلاتها.

التأثير وخطوات التخفيف

أبلغت Bloom Security عن المشكلة إلى GitHub في 6 يونيو 2026 وكشفت عن أكثر من 1 500 حزمة عرضة للخطر، تجاوز إجمالي تنزيلاتها 10 ملايين. وحذرت الشركة من أن وكلاء الذكاء الاصطناعي، الذين يحلون التبعيات تلقائيًا، قد يزيدون المخاطر بتنزيل أحدث نسخة خبيثة دون مراجعة بشرية. وترفض GitHub الآن رموز النشر الموثوقة المأخوذة من أحداث issue_comment في GitHub Actions وتحافظ على القيد الحالي على pull_request_target. ويُنصح المطورون بالتحقق من ارتباطات الناشر الموثوق، والتأكد من أن slug المحدد لا يزال يشير إلى مستودع تحت سيطرتهم، وحذف الارتباطات وإعادة إنشائها عند إعادة تسمية مستودع أو نقله أو حذفه.

دروس واسعة لسلسلة الإمداد

سبق اكتشاف SlugFest اكتشافًا سابقًا من Bloom Security في أغسطس يتعلق بحزم إضافات Open VSX و VS Code Marketplace. هذه التقنية، المسماة Extension Resurrection، كانت تتيح للمهاجمين المطالبة بنطاقات namespace غير مخصصة مذكورة في حزم موثوقة، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. وكلا الحالتين توضح أن أنظمة الثقة التي تعتمد على معرفات قابلة للتغيير وقابلة للقراءة البشرية يمكن أن تُنتهك عندما تتغير هذه المعرفات.

المصادر: The Hacker News