De nouvelles d\u00e9couvertes de la soci\u00e9t\u00e9 de cybers\u00e9curit\u00e9 JFrog montrent que les logiciels malveillants ciblant l’\u00e9cosyst\u00e8me npm peuvent \u00e9chapper aux contr\u00f4les de s\u00e9curit\u00e9 en profitant d’un “comportement inattendu” dans l’outil d’interface de ligne de commande (CLI) npm.<\/p>\n
npm CLI installer<\/a> et Audit<\/a> commandes<\/a> ont des capacit\u00e9s int\u00e9gr\u00e9es pour v\u00e9rifier un package et toutes ses d\u00e9pendances pour les vuln\u00e9rabilit\u00e9s connues, agissant efficacement comme un m\u00e9canisme d’avertissement pour les d\u00e9veloppeurs en mettant en \u00e9vidence les failles.<\/p>\n Mais comme JFrog l’a \u00e9tabli, les avis de s\u00e9curit\u00e9 ne sont pas affich\u00e9s lorsque les packages suivent certains formats de version, cr\u00e9ant un sc\u00e9nario dans lequel des failles critiques pourraient \u00eatre introduites dans leurs syst\u00e8mes soit directement, soit via les d\u00e9pendances du package.<\/p>\n Plus pr\u00e9cis\u00e9ment, le probl\u00e8me survient uniquement lorsque la version du package install\u00e9 contient un trait d’union (par exemple, 1.2.3-a), qui est inclus pour indiquer un version pr\u00e9liminaire<\/a> d’un module npm.<\/p>\n Bien que les responsables du projet traitent l’\u00e9cart entre les versions de package npm standard et les versions pr\u00e9liminaires comme une fonctionnalit\u00e9 pr\u00e9vue, cela le rend \u00e9galement propice aux abus par les attaquants cherchant \u00e0 empoisonner l’\u00e9cosyst\u00e8me open source.<\/p>\n “Les acteurs de la menace pourraient exploiter ce comportement en plantant intentionnellement du code vuln\u00e9rable ou malveillant dans leurs packages d’apparence innocente qui seront inclus par d’autres d\u00e9veloppeurs en raison de fonctionnalit\u00e9s pr\u00e9cieuses ou d’une erreur due \u00e0 des techniques d’infection telles que le typosquattage ou la confusion des d\u00e9pendances”, Or Peles a dit<\/a>.<\/p>\n En d’autres termes, un adversaire pourrait publier un package apparemment b\u00e9nin au format de version pr\u00e9liminaire, qui pourrait alors \u00eatre potentiellement repris par d’autres d\u00e9veloppeurs et ne pas \u00eatre alert\u00e9 du fait que le package est malveillant malgr\u00e9 les preuves du contraire.<\/p>\n Le d\u00e9veloppement r\u00e9it\u00e8re une fois de plus comment la cha\u00eene d’approvisionnement logicielle est construite comme une cha\u00eene de confiance entre diff\u00e9rentes parties, et comment la compromission d’un lien peut affecter toutes les applications en aval qui consomment la d\u00e9pendance tierce non autoris\u00e9e.<\/p>\n Pour contrer de telles menaces, il est recommand\u00e9 aux d\u00e9veloppeurs d’\u00e9viter d’installer des packages npm avec une version pr\u00e9liminaire, \u00e0 moins que la source ne soit connue pour \u00eatre totalement fiable.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n