آسیب پذیری مورد سوء استفاده در بسته توسعه دهنده Veged/Coa

اخبار منتشر شده در چندین پورتال توسعه‌دهنده در تاریخ 4 نوامبر 2021، مانند Ibexa و GitHub تأیید می‌کند که آخرین نسخه مخزن veged/coa NPM مملو از تهدیدات سایبری مانند درب پشتی تعبیه‌شده، نمونه‌های استخراج رمزنگاری، و رمز عبور است. بد افزار. Ibexa در مشاوره امنیتی خود اشاره کرد که این یک "کد مخرب در NPM veged/coa" است در حالی که GitHub پست کرده است که "آخرین نسخه حاوی کد مخرب است." بخش نظرات در GitHub با نظراتی مانند "هر توسعه دهنده در سراسر جهان از گوگل گرفته تا فیس بوک در حال حاضر گریه می کند زیرا CI/CD آنها از کار افتاده است" (کاربر Luuuuuis) و "این خطوط لوله ما را شکسته است … چه چیزی تغییر کرده است" ( کاربر marcusthelin) و «فروپاشی در سراسر جهان» (کاربر Tesla0916.)

حتی در این بحث تصویری طنز آمیز (در عین حال آموزنده) ارسال شده توسط «user Luuuuuis» ایجاد شد که نشان می‌دهد اجزای آسیب‌دیده چقدر می‌توانند خطرناک باشند:

[20]4 دانلود شده از نظرات GitHub توسط کاربر Luuuuuis” width=”385″ height=”489″ />

تصویر ارسال شده توسط کاربر Luuuuuis: https://github.com/veged/coa/issues/99[1965900مقدارنرم‌افزاروشرکت‌هایزیربناییتوسعهدهندگانازبرخیازبستههایمنبعبازNPMبرایپروژههایخوداستفادهمیکننداینبستههابهاندازهکافیامننیستند،کهمیتواندمنجربهمواردیماننداینشودیکجزءکوچکدرمعرضخطردربسته‌ایماننداینمی‌تواندپیامدهایتأثیردومینوییبرایسازمان‌هاییداشتهباشدکهپروژه‌هایبزرگیراانجاممی‌دهندوازاینبسته‌هادرجاییدرفرآینداستفادهمی‌کننددرطبیعت برای اهداف مخرب مورد بهره برداری قرار گرفت. این یک آسیب پذیری ریسک حیاتی است. جزئیات بیشتر نشان می دهد که یک کد درپشتی مخرب جاسازی شده  پیدا شده است. تجزیه و تحلیل فنی عمیق نشان می دهد که آسیب پذیری t به مهاجم راه دور اجازه می دهد تا به برنامه دسترسی غیرمجاز به دست آورد. این آسیب پذیری به دلیل وجود عملکرد مخرب جاسازی شده در کد برنامه (معروف به درپشتی) وجود دارد که به مهاجم راه دور اجازه می دهد تا دسترسی غیرمجاز به برنامه داشته باشد. بسته NPM به خطر افتاده است و شامل استخراج رمزنگاری و بدافزار سرقت رمز عبور است. همچنین این اولین باری نیست که بسته NPM با بدافزارهای رمزنگاری و سرقت رمز عبور در معرض خطر قرار می‌گیرد. .

اطلاعات مهم کاربر

طبق گفته کاربر GitHub، Roberto Wesley Overdijk وضعیت فعلی این است که NPM نسخه‌های در معرض خطر را حذف کرده است و همچنین «در حین بازیابی دسترسی به نسخه‌های جدید، انتشار موقت نسخه‌های جدید را مسدود کرده است. بسته.»

Ibexa نیز تأیید کرده است که نسخه 2.0.3 و نسخه های جدیدتر منتشر نشده اند، «NPM با لغو انتشار نسخه 2.0.3 و نسخه های جدیدتر مشکل را حل کرده و نسخه 2.0.2 را به عنوان آخرین نسخه منتشر شده علامت گذاری کرده است. لطفاً مطمئن شوید که این نسخه را اجرا می‌کنید.»

از آنجایی که نسخه‌های آسیب‌دیده حذف شده‌اند، نیازی به رفع مشکل نیست، با این حال، کاربران باید صفحه GitHub را بررسی کنند آخرین اطلاعات.