GitHub, SlugFest zəifliyi 1 500 paketi ifşa etdikdən sonra npm etibarlı nümayişini sıxlaşdırır

GitHub npm etibarlı nümayiş zəifliyinə cavab verir

GitHub, Bloom Security araşdırıcıları zəifliyi aşkar etdikdən sonra etibarsız npm etibarlı nümayiş konfiqurasiyaları üçün 48 saatlik müddət tətbiq etdi; bu zəiflik 1 500-dən çox paketi təhlükə altına qoydu. Dəyişikliklərə görə, yeni etibarlı nümayiş konfiqurasiyası ilk uğurlu nümayişi iki gün ərzində başa vurmalıdır; bundan sonra konfiqurasiya yoxlanılır və repozitoriyanın dəyişməz identifikatoruna bağlanır.

SlugFest hücumu necə işlədi

2025-ci il iyulunda başlayan etibarlı nümayiş, geliştiricilərə paketləri uzunmüddətli məxfiliklər əvəzinə CI/CD platformalarından qısa ömürlü OIDC tokenləri ilə nümayiş etmək imkanı verir. Lakin npm əvvəlcə yalnız repozitoriyanın slug-ını, sahibini və repozitoriyanın adını yoxlayır və GitHub tərəfindən verilən sabit rəqəmsal ID-i nəzərə almır. İstifadəçi repozitoriyanı arxivləşdirəndə, təhvil verəndə və ya siləndə, slug istəyənə əlçatan olur. Hücumçu azad olunmuş slug üzərində repozitoriya yarada, nümayiş workflow işə sala və ona aid olmayan paket üçün etibarlı nümayiş tokeni ala bilərdi. SlugFest adı ilə tanınan bu hücum legitim paket adı ilə zərərli versiya nümayiş etdirə və onun reputasiyasını və yükləmə sayını özünə mənimsəyə bilərdi.

Təsir və azaldıcı addımlar

Bloom Security problemin 2026-cı il iyunun 6-da GitHub-a bildirdi və 1 500-dən çox zəif paket ortaya çıxardı; bunların ümumi yükləmələri 10 milyonu aşırdı. Şirkət xəbərdarlıq etdi ki, asılılıqları avtomatik qəbul edən AI agentləri riski gücləndirə bilər, ən son zərərli versiyanı insan yoxlamasız yükləməklə. GitHub indi GitHub Actions-in issue_comment hadisələrindən alınan etibarlı nümayiş tokenlərini rədd edir və pull_request_target üçün mövcud məhdudiyyəti saxlayır. Geliştiricilərə etibarlı nümayiş bağlamalarını yoxlamaq, göstərilən slug-in yenə də onların nəzarətindəki repozitoriyaya işarə etdiyini təsdiqləmək və repozitoriyanı arxivləşdirəndə, təhvil verəndə və ya siləndə bağlamaları silib yenidən yaratmaq tövsiyə olunur.

Təchizat zəncirinin geniş dərsləri

SlugFest-in aşkar edilməsinə Bloom Security-in avqustda Open VSX və VS Code Marketplace genişləndirmə paketləri ilə bağlı əvvəlki aşkar edilməsi ilə yol açdı. Extension Resurrection adlı bu texnika hücumçulara etibarlı paketlərdə göstəriləmiş namespace-ləri mənimsəməyə imkan verirdi, bu da uzaqdan kod icrasına səbəb olardı. Hər iki hal göstərir ki, dəyişən, insan tərəfindən oxuna bilən identifikatorlara etibar edən etibar sistemləri bu identifikatorlar ələ keçirildikdə pozula bilər.

Mənbələr: The Hacker News