0x00 漏洞概述

　　近日，GitHub公開披露了在npm中發現并已修復的2個安全漏洞，攻擊者可利用該漏洞發起針對性的依賴混淆攻擊和域名搶注，或者未經授權更新任何npm包的新版本。

　　0x01 漏洞詳情

　　npm是 Node.js 的包管理工具，用來安裝各種 Node.js 的擴展，后被GitHub收購。

　　GitHub本次公開披露的兩個漏洞是近兩個月在npm中發現的，第一個漏洞為信息泄露漏洞，第二個漏洞為授權漏洞，詳情如下：

　　npm信息泄露漏洞

　　該漏洞是npmjs的復制服務器上的數據泄漏，這是由 “日常維護 ”造成的，導致暴露了私有npm包的名稱列表，但在維護窗口期間，這些包的內容并沒有暴露。

　　當在為Replication.npmjs.com 上的公共 npm 副本提供支持的數據庫進行維護期間，創建的記錄可能會暴露私有包的名稱，雖然私有包的內容沒有暴露，但這些名稱信息足以讓攻擊者以自動化的方式進行有針對性的依賴混淆攻擊和域名搶注。

　　雖然目前所有包含私有包名稱的記錄已經從 npm 的復制數據庫中刪除，但replicate.npmjs.com 服務仍被第三方使用，因此第三方可能會繼續保留副本或可能已將數據復制到其他地方。因此，GitHub已經對其生成公共復制數據庫的過程進行了修改，以在未來消除私人軟件包名稱泄露問題。

　　npm授權漏洞

　　此漏洞源于處理對npm注冊表的請求的多個微服務之間不正確的授權檢查和數據驗證，導致授權和發布的軟件包存在差異。攻擊者可以在沒有適當授權的情況下使用賬戶發布任何npm包的新版本。

　　GitHub表示該漏洞目前尚未被惡意利用，并且已經通過確保發布服務和授權服務的一致性來緩解這個問題，以確保授權和發布使用的是同一個軟件包。

　　此外，流行的npm庫 “ua-parser-js”、“coa ”和 “rc ”之前在一系列攻擊中被劫持，目的是用木馬和加密礦工感染開源軟件消費者。據 GitHub 稱，這些流行庫的維護者都沒有在他們的帳戶上啟用雙因素身份驗證 （2FA），因此，為避免這種情況再次發生，GitHub將要求 npm 維護人員在2022 年開始啟用2FA。

　　0x02 處置建議

　　目前這些漏洞已經修復，建議相關用戶注意防范此類攻擊。

　　參考鏈接：

　　https://github.blog/2021-11-15-githubs-commitment-to-npm-ecosystem-security/

　　0x03 參考鏈接

　　https://github.blog/2021-11-15-githubs-commitment-to-npm-ecosystem-security/

　　https://www.bleepingcomputer.com/news/security/npm-fixes-private-package-names-leak-serious-authorization-bug/

　　https://securityaffairs.co/wordpress/124671/security/github-npm-package-flaws.html?

　　0x04 附錄

　　公司簡介

　　啟明星辰公司成立于1996年，并于2010年6月23日在深交所中小板正式掛牌上市，是國內最具實力的信息安全產品和安全管理平臺、安全服務與解決方案的領航企業之一。

　　公司總部位于北京市中關村軟件園，在全國各省、市、自治區設立分支機構六十多個，擁有覆蓋全國的銷售體系、渠道體系和技術支持體系；并在華北、華東、西南和華南布局四大研發中心，分別為北京研發總部、上海研發中心、成都研發中心和廣州研發中心。

　　多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。