Redazione RHC : 18 Novembre 2021 07:27
La società madre di npm (Node Package Manager), GitHub, ha segnalato due gravi vulnerabilità identificate nel gestore di pacchetti JavaScript nell’ottobre-novembre di quest’anno.
Distribuisci i nostri corsi di formazione diventando un nostro Affiliato
Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Il primo è il più grave dei bug, che i ricercatori della sicurezza informatica hanno segnalato agli sviluppatori tramite il programma di bug bounty di GitHub all’inizio di novembre. Tale bug consente a un utente malintenzionato di pubblicare una nuova versione di qualsiasi pacchetto npm utilizzando un account senza la corretta autorizzazione.
La vulnerabilità derivava dall’incoerenza nell’autorizzazione e nei controlli dei dati tra diversi microservizi che elaborano le richieste in npm.
“In questa architettura, il servizio di autorizzazione verifica correttamente l’autorizzazione dell’utente per i pacchetti in base ai dati passati nei percorsi url della richiesta”.
Ha spiegato Mike Hanley, Chief Security Officer di GitHub.
“Ma esiste una incoerenza nel servizio di pubblicazione che dà la possibilità a un pacchetto non autorizzato di pubblicare nuove versioni di software. Abbiamo affrontato questo problema garantendo la coerenza tra i servizi di pubblicazione e autorizzazione per consentire che lo stesso pacchetto venga utilizzato sia per l’autorizzazione che per la pubblicazione”.
Gli sviluppatori scrivono che non ci sono prove di sfruttamento di questo bug al momento.
Ma allo stesso tempo, gli esperti ammettono che non è possibile escludere categoricamente lo sfruttamento attivo per gli scarsi dati di telemetria a disposizione.
La seconda vulnerabilità era relativa alla fuga dei nomi dei pacchetti npm privati (ma non del loro contenuto), avvenuta attraverso il server di replica npmjs.com, da cui i servizi di terze parti ricevono i dati.
La perdita ha interessato le librerie npm private create prima del 20 ottobre.
“Durante la manutenzione del database che mantiene la replica pubblica di npm su replicate.npmjs.com, sono stati creati record che potrebbero rivelare i nomi dei pacchetti privati”
spiega Hanley.
“Per un breve periodo, questo ha permesso ai consumatori di replicate.npmjs.com di apprendere i nomi dei pacchetti privati dai post pubblicati nel feed pubblico delle modifiche. Nessun’altra informazione, compreso il contenuto di questi pacchetti privati, era di fatto disponibile.”
RedazioneLe persone tendono a essere più comprensive nei confronti dei chatbot se li considerano interlocutori reali. Questa è la conclusione a cui sono giunti gli scienziati dell’Universit&#x...
La Sfida della Sicurezza nelle Reti Wi-Fi e una Soluzione Adattiva. Nell’era della connettività pervasiva, lo standard IEEE 802.11(meglio noto come Wi-Fi ), è diventato la spina dorsa...
Nel mese di aprile 2025, una valvola idraulica di una diga norvegese è stata forzatamente aperta da remoto per diverse ore, a seguito di un attacco informatico mirato. L’episodio, riportat...
Sul forum underground russo XSS è apparso un post che offre una “Collection di Lead Verificati Italia 2025” con oltre 1 milione di record. Questo tipo di inserzioni evidenzia la con...
Nel cuore dei conflitti contemporanei, accanto ai carri armati, ai droni e alle truppe, si combatte una guerra invisibile, silenziosa e spesso sottovalutata: la cyber war. Non è solo uno scenario...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
