{"id":796622,"date":"2023-06-22T19:04:28","date_gmt":"2023-06-22T21:04:28","guid":{"rendered":"https:\/\/teknomers.com\/fr\/alerte-un-million-de-referentiels-github-sont-probablement-vulnerables-a-une-attaque-de-repojacking\/"},"modified":"2023-06-22T19:04:32","modified_gmt":"2023-06-22T21:04:32","slug":"alerte-un-million-de-referentiels-github-sont-probablement-vulnerables-a-une-attaque-de-repojacking","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/alerte-un-million-de-referentiels-github-sont-probablement-vulnerables-a-une-attaque-de-repojacking\/","title":{"rendered":"Alerte\u00a0: un million de r\u00e9f\u00e9rentiels GitHub sont probablement vuln\u00e9rables \u00e0 une attaque de repojacking"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>22 juin 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>Cha\u00eene d’approvisionnement \/ S\u00e9curit\u00e9 des logiciels<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

Des millions de d\u00e9p\u00f4ts de logiciels sur GitHub sont probablement vuln\u00e9rables \u00e0 une attaque appel\u00e9e Repojacking<\/b>une nouvelle \u00e9tude a r\u00e9v\u00e9l\u00e9.<\/p>\n

Cela inclut des r\u00e9f\u00e9rentiels d’organisations telles que Google, Lyft et plusieurs autres, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 native du cloud bas\u00e9e dans le Massachusetts Aqua a dit<\/a> dans un rapport de mercredi.<\/p>\n

La vuln\u00e9rabilit\u00e9 de la cha\u00eene d’approvisionnement, \u00e9galement connue sous le nom de d\u00e9tournement de r\u00e9f\u00e9rentiel de d\u00e9pendances, est une classe d’attaques<\/a> qui permet de reprendre des organisations ou des noms d’utilisateurs \u00e0 la retraite et de publier des versions trojanis\u00e9es de r\u00e9f\u00e9rentiels pour ex\u00e9cuter du code malveillant.<\/p>\n

“Lorsqu’un propri\u00e9taire de r\u00e9f\u00e9rentiel change son nom d’utilisateur, un lien est cr\u00e9\u00e9 entre l’ancien nom et le nouveau nom pour quiconque t\u00e9l\u00e9charge des d\u00e9pendances \u00e0 partir de l’ancien r\u00e9f\u00e9rentiel”, ont d\u00e9clar\u00e9 les chercheurs Ilay Goldman et Yakir Kadkoda. “Cependant, il est possible pour n’importe qui de cr\u00e9er l’ancien nom d’utilisateur et de rompre ce lien.”<\/p>\n

\"La<\/a><\/center><\/div>\n

Alternativement, un sc\u00e9nario similaire pourrait se produire lorsque la propri\u00e9t\u00e9 d’un r\u00e9f\u00e9rentiel est transf\u00e9r\u00e9e \u00e0 un autre utilisateur et que le compte d’origine est supprim\u00e9, permettant ainsi \u00e0 un acteur malveillant de cr\u00e9er un compte avec l’ancien nom d’utilisateur.<\/p>\n

Aqua a d\u00e9clar\u00e9 qu’un acteur de la menace pourrait exploiter des sites Web comme GHTorrent pour extraire les m\u00e9tadonn\u00e9es GitHub associ\u00e9es \u00e0 tout engagement public et tirer des demandes pour compiler une liste de r\u00e9f\u00e9rentiels uniques.<\/p>\n

\"\"<\/div>\n

Une analyse d’un sous-ensemble de 1,25 million de r\u00e9f\u00e9rentiels pour le mois de juin 2019 a r\u00e9v\u00e9l\u00e9 que pas moins de 36 983 r\u00e9f\u00e9rentiels \u00e9taient vuln\u00e9rables au RepoJacking, ce qui d\u00e9note un taux de r\u00e9ussite de 2,95 %.<\/p>\n

Avec GitHub contenant plus de 330 millions de r\u00e9f\u00e9rentiels<\/a>les r\u00e9sultats sugg\u00e8rent que des millions de r\u00e9f\u00e9rentiels pourraient \u00eatre vuln\u00e9rables \u00e0 une attaque similaire.<\/p>\n

L’un de ces r\u00e9f\u00e9rentiels est google\/mathsteps, qui appartenait auparavant \u00e0 Socratic (socraticorg\/mathsteps), une soci\u00e9t\u00e9 acquise par Google en 2018.<\/p>\n

“Lorsque vous acc\u00e9dez \u00e0 https:\/\/github.com\/socraticorg\/mathsteps, vous \u00eates redirig\u00e9 vers https:\/\/github.com\/google\/mathsteps afin que l’utilisateur finisse par r\u00e9cup\u00e9rer le r\u00e9f\u00e9rentiel de Google”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n

“Cependant, comme l’organisation socraticorg \u00e9tait disponible, un attaquant pourrait ouvrir le r\u00e9f\u00e9rentiel socraticorg\/mathsteps et les utilisateurs suivant les instructions de Google cloneraient le r\u00e9f\u00e9rentiel de l’attaquant \u00e0 la place. Et \u00e0 cause de l’installation de npm, cela conduira \u00e0 l’ex\u00e9cution de code arbitraire sur les utilisateurs.”<\/p>\n

\"\"<\/div>\n

Ce n’est pas la premi\u00e8re fois que de telles inqui\u00e9tudes sont soulev\u00e9es. En octobre 2022, GitHub a d\u00e9cid\u00e9 de combler une faille de s\u00e9curit\u00e9 qui aurait pu \u00eatre exploit\u00e9e pour cr\u00e9er des r\u00e9f\u00e9rentiels malveillants et monter des attaques de la cha\u00eene d’approvisionnement en contournant le retrait de l’espace de noms de r\u00e9f\u00e9rentiel populaire.<\/p>\n

Pour att\u00e9nuer ces risques, il est recommand\u00e9 aux utilisateurs d’inspecter p\u00e9riodiquement leur code \u00e0 la recherche de liens susceptibles de r\u00e9cup\u00e9rer des ressources \u00e0 partir de r\u00e9f\u00e9rentiels GitHub externes.<\/p>\n

“Si vous changez le nom de votre organisation, assurez-vous que vous poss\u00e9dez toujours l’ancien nom, m\u00eame en tant qu’espace r\u00e9serv\u00e9, pour emp\u00eacher les attaquants de le cr\u00e9er”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n