GitHub-ը մժտամում է npm-ի ապահով հրապարակումները SlugFest խնդրի հետևում, որը բացահայտեց 1500-ից ավելի փաթեթ

GitHub-ը արձագանքում է npm-ի ապահով հրապարակման խնդրին

GitHub-ը սահմանեց 48-ժամյա ժամկետ անվավեր npm-ի ապահով հրապարակման կոնֆիգուրացիաների համար այն բանից հետո, երբ Bloom Security-ի հետազոտողները հայտնաբերեցին խոցելիություն, որը 1500-ից ավելի փաթեթ դրեց ռիսկի տակ: Փոփոխությունների համաձայն, նոր ապահով հրապարակողի կոնֆիգուրացիան պետք է ավարտի առաջին հաջողված հրապարակումը երկու օրի ընթացքում, որից հետո կոնֆիգուրացիան վավերականանում է և կցվում է պահոցի անփոփոխ նույնականացման համարին:

Ինչպես էր աշխատում SlugFest-ի հարձակումը

Ապահով հրապարակումը, որը սկսվել է 2025 թվականի հուլիսին, թույլ է տալիս մշակողներին փաթեթներ հրապարակել CI/CD հարթակներից կարճաժամկետ OIDC թոքեններով՝ երկարաժամկետ գաղտնիքների փոխարեն: Այնուամենայնիվ, npm-ը սկզբում ստուգում էր միայն պահոցի slug-ը, սեփականատիրոջը և պահոցի անվանումը՝ անտեսելով GitHub-ի կողմից տրված մշտական թվային ID-ն: Երբ օգտատերը վերանվանում, փոխանցում կամ ջնջում էր պահոցը, slug-ը հասանելի էր դառնում ցանկացածի համար: Հարձակորդը կարող էր ստեղծել պահոց ազատված slug-ով, գործարկել հրապարակման workflow-ն և ստանալ փաթեթի վավեր հրապարակման թոքեն այն փաթեթի համար, որը իրեն չէր պատկանում: SlugFest անունով հայտնի այս հարձակմանը կարող էր հրապարակել վնասակար տարբերակ լեգիտիմ փաթեթի անվան տակ և տիրապետել դրա համբավին և ներբեռնումների քանակին:

Ազդեցությունը և նվազեցնող քայլերը

Bloom Security-ը ծանուցեց խնդրի մասին GitHub-ին 2026 թվականի հունիսի 6-ին և բացահայտեց 1500-ից ավելի խոցելի փաթեթ, որոնց ընդհանուր ներբեռնումները գերազանցում էին 10 միլիոնը: Ընկերությունը նախազգուշացրեց, որ AI ագենտները, որոնք ավտոմատ կերպով լուծում են կախվածությունները, կարող են ուժեղացնել վտանգը՝ վերջին վնասակար տարբերակի ներբեռնումը առանց մարդու ստուգման: GitHub-ը այժմ մերժում է GitHub Actions-ի issue_comment իրադարձություններից ստացված ապահով հրապարակման թոքենները և պահպանում է pull_request_target-ի գոյություն ունեցող սահմանափակումը: Մշակողներին խորհուրդ է տրվում ստուգել ապահով հրապարակող կցումները, հաստատել, որ նշված slug-ը նորից ցույց է տալիս իրենց վերահսկողության տակ գտնվող պահոցի վրա, և ջնջել որպեսզի վերստեղծել կցումները, երբ նվանում են, փոխանցում են կամ ջնջում են պահոցը:

Մատակարարման շղյակի լայձ դասերը

SlugFest-ի հայտնաբերմանը նախորդել է Bloom Security-ի վաղ հայտնաբերությունը օգոստոսում Open VSX-ի և VS Code Marketplace-ի ընդլայնման փաթեթների հետ կապված: Այս տեխնիկան, որը կոչվում է Extension Resurrection, հնարավորություն էր տալիս հարձակորդներին գրավել անվավեր namespace-ները ապահով փաթեթներում, ինչը հանգեցնում էր հեռակա կոդի կատարման հնարավորությանը: Երկու դեպքն էլ ցույց են տալիս, որ վստահության համակարգերը, որոնք ապավինում են փոփոխական, մարդկանին ընթեռնելի նույնականացուցիչների վրա, կարող են խախտվել, երբ այդ նույնականացուցիչները փոխում են իրենց սեփականատերը:

Աղբյուրներ: The Hacker News