El registro npm para el entorno de tiempo de ejecuci\u00f3n de JavaScript de Node.js es susceptible a lo que se denomina un confusi\u00f3n manifiesta<\/strong> ataque que potencialmente podr\u00eda permitir a los actores de amenazas ocultar malware en las dependencias del proyecto o realizar la ejecuci\u00f3n de scripts arbitrarios durante la instalaci\u00f3n.<\/p>\n “El manifiesto de un paquete npm se publica independientemente de su tarball”, Darcy Clarke, ex gerente de ingenier\u00eda de GitHub y npm, dicho<\/a> en un art\u00edculo t\u00e9cnico publicado la semana pasada. “Los manifiestos nunca se validan por completo con el contenido del tarball”.<\/p>\n “El ecosistema ha asumido en t\u00e9rminos generales que el contenido del manifiesto y el tarball son consistentes”, agreg\u00f3 Clarke.<\/p>\n El problema, en esencia, se deriva del hecho de que los metadatos del manifiesto y del paquete est\u00e1n desacoplados y que nunca se comparan entre s\u00ed, lo que genera un comportamiento inesperado y un mal uso cuando hay una falta de coincidencia.<\/p>\n Como resultado, un actor de amenazas podr\u00eda explotar esta laguna para publicar un m\u00f3dulo con un archivo de manifiesto (paquete.json) que contiene dependencias ocultas y ejecutar scripts de instalaci\u00f3n, lo que podr\u00eda allanar el camino para un ataque a la cadena de suministro y el envenenamiento de un entorno de desarrollador.<\/p>\n “La confusi\u00f3n de manifiestos se vuelve problem\u00e1tica en entornos de desarrollo sin herramientas y flujos de trabajo efectivos de DevSecOps, especialmente cuando las aplicaciones conf\u00edan ciegamente en los manifiestos de aplicaciones en lugar de los archivos reales (vulnerables o maliciosos) contenidos en los paquetes de c\u00f3digo abierto”, dijo el investigador y periodista de Sonatype, Ax Sharma. dicho<\/a>.<\/p>\n El hallazgo subraya el hecho de que no se puede confiar en los metadatos contenidos en los archivos de manifiesto del paquete cuando se descarga un paquete del repositorio de c\u00f3digo abierto, lo que requiere que los usuarios tomen medidas para escanear paquetes<\/a> para cualquier caracter\u00edstica an\u00f3mala y exploits.<\/p>\n Se dice que GitHub, seg\u00fan Clarke, est\u00e1 al tanto del problema desde al menos principios de noviembre de 2022, y la subsidiaria de Microsoft afirma que planea abordarlo internamente a partir de marzo de 2023. Sin embargo, el problema sigue sin resolverse hasta la fecha.<\/p>\n A falta de una soluci\u00f3n oficial, el investigador de seguridad Felix Pankratz ha puesto a disposici\u00f3n una secuencia de comandos de Python<\/a> que se puede usar para probar discrepancias entre los manifiestos en los m\u00f3dulos npm.<\/p>\n El desarrollo tambi\u00e9n se produce cuando la empresa de seguridad para desarrolladores Snyk, en asociaci\u00f3n con Redhunt Labs, examin\u00f3 11,900 repositorios de la las 1000 principales organizaciones de GitHub<\/a> para dependencias inseguras, descubriendo 1,229,601 fallas en 15,584 archivos de dependencias vulnerables.<\/p>\n “Deserializaci\u00f3n de datos no confiables<\/a> fue el tipo de vulnerabilidad m\u00e1s prevalente con la friolera de 130.831 ocurrencias en los repositorios de Java, lo que lo convierte en el 40 por ciento del total de vulnerabilidades identificadas”, el estudio dicho<\/a>.<\/p>\n En proyectos basados \u200b\u200ben JavaScript, prototipo de contaminaci\u00f3n<\/a> surgi\u00f3 como la principal deficiencia con 343.332 ocurrencias. Negaci\u00f3n de servicio (DoS<\/a>) las fallas contribuyeron m\u00e1s en los proyectos de Python y Ruby con 19,652 y 56,331 ocurrencias, respectivamente.<\/p>\n “La amenaza de que las dependencias vulnerables interrumpan el estado de seguridad de las cadenas de suministro de software lleg\u00f3 para quedarse”, dijeron los investigadores de seguridad Umair Nehri y Vandana Verma Sehgal. “Por lo tanto, los desarrolladores deben tener cuidado con las dependencias que usan en sus proyectos y mantenerlas actualizadas para mantenerlas parcheadas de cualquier vulnerabilidad conocida”.<\/p>\n <\/p>\n![\"Ataque](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2023\/07\/1688576154_232_Atencion-a-los-usuarios-de-Nodejs-el-ataque-de-confusion.png\" "\\"Ataque")
<\/div>\n