{"id":112966,"date":"2022-04-27T03:10:17","date_gmt":"2022-04-27T05:10:17","guid":{"rendered":"https:\/\/teknomers.com\/fr\/le-bogue-npm-a-permis-aux-attaquants-de-distribuer-des-logiciels-malveillants-sous-forme-de-packages-legitimes\/"},"modified":"2022-04-27T03:10:21","modified_gmt":"2022-04-27T05:10:21","slug":"le-bogue-npm-a-permis-aux-attaquants-de-distribuer-des-logiciels-malveillants-sous-forme-de-packages-legitimes","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/le-bogue-npm-a-permis-aux-attaquants-de-distribuer-des-logiciels-malveillants-sous-forme-de-packages-legitimes\/","title":{"rendered":"Le bogue NPM a permis aux attaquants de distribuer des logiciels malveillants sous forme de packages l\u00e9gitimes"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Une “faille logique” a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans NPM, le gestionnaire de packages par d\u00e9faut pour l’environnement d’ex\u00e9cution JavaScript Node.js, qui permet aux acteurs malveillants de faire passer les biblioth\u00e8ques malveillantes pour l\u00e9gitimes et d’inciter les d\u00e9veloppeurs peu m\u00e9fiants \u00e0 les installer.<\/p>\n

La menace de la cha\u00eene d’approvisionnement a \u00e9t\u00e9 surnomm\u00e9e “Package Planting” par les chercheurs de la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua. Suite \u00e0 la divulgation responsable le 10 f\u00e9vrier, le probl\u00e8me sous-jacent a \u00e9t\u00e9 r\u00e9solu par NPM le 26 avril.<\/p>\n

\"La<\/a><\/div>\n

“Jusqu’\u00e0 r\u00e9cemment, NPM autorisait l’ajout de n’importe qui en tant que responsable du paquet sans en informer ces utilisateurs ni obtenir leur consentement”, a d\u00e9clar\u00e9 Yakir Kadkoda d’Aqua. mentionn\u00e9<\/a> dans un rapport publi\u00e9 mardi.<\/p>\n

Cela signifiait en fait qu’un adversaire pouvait cr\u00e9er des packages contenant des logiciels malveillants et les attribuer \u00e0 des responsables de confiance et populaires \u00e0 leur insu.<\/p>\n

\"\"<\/div>\n

L’id\u00e9e ici est d’ajouter des propri\u00e9taires cr\u00e9dibles associ\u00e9s \u00e0 d’autres biblioth\u00e8ques NPM populaires au paquet empoisonn\u00e9 contr\u00f4l\u00e9 par l’attaquant dans l’espoir que cela inciterait les d\u00e9veloppeurs \u00e0 le t\u00e9l\u00e9charger.<\/p>\n

Les cons\u00e9quences d’une telle attaque de la cha\u00eene d’approvisionnement sont importantes pour un certain nombre de raisons. Non seulement cela donne un faux sentiment de confiance entre les d\u00e9veloppeurs, mais cela pourrait \u00e9galement nuire \u00e0 la r\u00e9putation des mainteneurs de paquets l\u00e9gitimes.<\/p>\n

\"La<\/a><\/div>\n

La divulgation vient comme Aqua d\u00e9couvert<\/a> deux autres failles de la plate-forme NPM li\u00e9es \u00e0 l’authentification \u00e0 deux facteurs (2FA) qui pourraient \u00eatre exploit\u00e9es pour faciliter les attaques de prise de contr\u00f4le de compte et publier des packages malveillants.<\/p>\n

“Le principal probl\u00e8me est que n’importe quel utilisateur de npm peut effectuer cette op\u00e9ration et ajouter d’autres utilisateurs de NPM en tant que mainteneurs de leur propre package”, a d\u00e9clar\u00e9 Kadkoda. “En fin de compte, les d\u00e9veloppeurs sont responsables des packages open source qu’ils utilisent lors de la cr\u00e9ation d’applications.”<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Une “faille logique” a \u00e9t\u00e9 r\u00e9v\u00e9l\u00e9e dans NPM, le gestionnaire de packages par d\u00e9faut pour l’environnement d’ex\u00e9cution JavaScript Node.js, qui permet aux acteurs malveillants de faire passer les biblioth\u00e8ques malveillantes pour l\u00e9gitimes et d’inciter les d\u00e9veloppeurs peu m\u00e9fiants \u00e0 les installer. La menace de la cha\u00eene d’approvisionnement a \u00e9t\u00e9 surnomm\u00e9e “Package Planting” par les chercheurs […]<\/p>\n","protected":false},"author":1,"featured_media":112967,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[11865,507,6813,4168,4158,4165,4161,133,28,3680,4157,4159,4171,4170,25332,4167,4589,4590,4160,4163,4162,7310,7309,10295,4172,4169,367,4166,4164],"class_list":["post-112966","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-attaquants","tag-aux","tag-bogue","tag-comment-pirater","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-des","tag-distribuer","tag-forme","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-legitimes","tag-logiciel-malveillant-de-ransomware","tag-logiciels","tag-malveillants","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-npm","tag-packages","tag-permis","tag-securite-informatique","tag-securite-internet","tag-sous","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/112966","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=112966"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/112966\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/112967"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=112966"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=112966"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=112966"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}