Bug do NPM permitiu que invasores distribuíssem malware como pacotes legítimos FUDEU NPM
"#aiedonline em youtube.com/c/aiedonline"
Livro Linux: https://docs.google.com/document/d/14S8MAcjspdbBWsja-Ijb_GQfs4C1PzJmDcTJ3bYXyeQ/edit?usp=sharing
Livro Hacker: https://docs.google.com/document/d/17R67zmmJw46yMGYpqt9WOjdo4mLCBjNQbmCNcQuLDlc/edit?usp=sharing
Seja membro: https://youtu.be/fEdz5zX2-4M
TELEGRAM: https://t.me/joinchat/VPKVjQZAptLV4n0h
Ajude o canal, seja membro o faça um PIX de qualquer valor para wellington.aied@gmail.com
Any Bonny (Português): https://www.youtube.com/channel/UCMsbLgU8OUFA2jKgSsvihNg
Any Bonny (English): https://www.youtube.com/channel/UCMsbLgU8OUFA2jKgSsvihNg
Bug do NPM permitiu que invasores distribuíssem malware como pacotes legítimos
Uma "falha lógica" foi divulgada no NPM, o gerenciador de pacotes padrão para o ambiente de execução JavaScript Node.js, que permite que agentes mal-intencionados passem por bibliotecas desonestas como legítimas e induzam desenvolvedores desavisados a instalá-las.
A ameaça da cadeia de suprimentos foi apelidada de “Package Planting” por pesquisadores da empresa de segurança em nuvem Aqua.
Após a divulgação responsável em 10 de fevereiro, o problema subjacente foi corrigido pelo NPM em 26 de abril.
"Até recentemente, o NPM permitia adicionar qualquer pessoa como mantenedor do pacote sem notificar esses usuários ou obter seu consentimento", disse Yakir Kadkoda, da Aqua, em um relatório publicado na terça-feira.
Isso significava efetivamente que um adversário poderia criar pacotes com malware e atribuí-los a mantenedores confiáveis e populares sem o seu conhecimento.
A ideia aqui é adicionar proprietários confiáveis associados a outras bibliotecas NPM populares ao pacote envenenado controlado pelo invasor, na esperança de que isso atraia desenvolvedores para baixá-lo.
As consequências de tal ataque à cadeia de suprimentos são significativas por vários motivos.
Não só dá uma falsa sensação de confiança entre os desenvolvedores, mas também pode causar danos à reputação de mantenedores legítimos de pacotes.
A divulgação ocorre quando a Aqua descobriu mais duas falhas na plataforma NPM relacionadas à autenticação de dois fatores (2FA) que podem ser abusadas para facilitar ataques de controle de contas e publicar pacotes maliciosos.
"O principal problema é que qualquer usuário do npm pode fazer isso e adicionar outros usuários do NPM como mantenedores de seu próprio pacote", disse Kadkoda.
"Eventualmente, os desenvolvedores são responsáveis por quais pacotes de código aberto eles usam ao criar aplicativos."
-
LIVE
The Kirk Minihane Show
2 hours agoKMS Live - May 17, 2024
683 watching -
Real Coffee With Scott Adams
1 hour agoCoffee with Scott Adams 5/17/24
1.48K4 -
LIVE
Fresh and Fit
2 hours agoClimb To Master
2,752 watching -
15:50
Dave Portnoy
2 hours agoDavey Day Trader - May 17, 2024
3.29K4 -
Matt Kohrs
14 hours agoGov'nt Hearing Goes Wild, Meme Stock Crushed & Live Degen Trading
10.8K2 -
49:04
Rethinking the Dollar
1 hour agoSilver Surges, DTCC Pilot Successful & the Bankster's Are Still In Control | Morning Check-In
5782 -
12:11
ThinkStory
1 day agoOUTER RANGE Ending & "The Hole" Explained!
13.6K7 -
7:28
Chrissy Clark
16 hours agoWhy Gen Z HATES Dave Ramsey
22.4K86 -
8:54
MichaelBisping
14 hours agoBISPING: How does USYK Defeat FURY? | Tyson Fury vs Oleksandr Usyk BREAKDOWN
27K7 -
15:28
Morgonn
17 hours agoHarrison Butker is RIGHT! Bring Back MASCULINE Men! The Charlie Kirk Show
24.5K9