Un package npm populaire avec plus de 3,5 millions de t\u00e9l\u00e9chargements hebdomadaires a \u00e9t\u00e9 jug\u00e9 vuln\u00e9rable \u00e0 une attaque de prise de contr\u00f4le de compte.<\/p>\n
“Le package peut \u00eatre repris en r\u00e9cup\u00e9rant un nom de domaine expir\u00e9 pour l’un de ses responsables et en r\u00e9initialisant le mot de passe”, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 de la cha\u00eene d’approvisionnement en logiciels Illustria. a dit<\/a> dans un rapport.<\/p>\n Alors que les protections de s\u00e9curit\u00e9 de npm limitent les utilisateurs \u00e0 n’avoir qu’une seule adresse e-mail active par compte, la firme isra\u00e9lienne a d\u00e9clar\u00e9 qu’elle \u00e9tait en mesure de r\u00e9initialiser le mot de passe GitHub en utilisant le domaine r\u00e9cup\u00e9r\u00e9.<\/p>\n L’attaque, en un mot, accorde \u00e0 un acteur mena\u00e7ant l’acc\u00e8s au compte GitHub associ\u00e9 au package, permettant ainsi de publier des versions trojanis\u00e9es dans le registre npm qui peuvent \u00eatre militaris\u00e9es pour mener des attaques de cha\u00eene d’approvisionnement \u00e0 grande \u00e9chelle.<\/p>\n Ceci est r\u00e9alis\u00e9 en tirant parti d’une action GitHub qui est configur\u00e9e dans le r\u00e9f\u00e9rentiel pour publier automatiquement les packages lorsque de nouvelles modifications de code sont pouss\u00e9es.<\/p>\n “M\u00eame si le compte utilisateur npm du responsable est correctement configur\u00e9 avec [two-factor authentication]ce jeton d’automatisation le contourne \u00bb, a d\u00e9clar\u00e9 Bogdan Kortnov, co-fondateur et CTO d’Illustria.<\/p>\n Illustria n’a pas divulgu\u00e9 le nom du module, mais a not\u00e9 qu’il avait contact\u00e9 son responsable, qui a depuis pris des mesures pour s\u00e9curiser le compte.<\/p>\n Ce n’est pas la premi\u00e8re fois que des comptes de d\u00e9veloppeurs sont vuln\u00e9rables aux prises de contr\u00f4le ces derni\u00e8res ann\u00e9es. En mai 2022, un acteur malveillant a enregistr\u00e9 un domaine expir\u00e9 utilis\u00e9 par le responsable associ\u00e9 au package ctx Python pour prendre le contr\u00f4le du compte et a distribu\u00e9 une version malveillante.<\/p>\n <\/p>\n![\"Paquet](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/02\/1676574323_920_Des-chercheurs-detournent-un-package-NPM-populaire-avec-des-millions.png\" "\\"Paquet")
<\/div>\n