Le registre npm pour l’environnement d’ex\u00e9cution JavaScript Node.js est sensible \u00e0 ce qu’on appelle un confusion manifeste<\/strong> attaque qui pourrait potentiellement permettre aux acteurs de la menace de dissimuler des logiciels malveillants dans les d\u00e9pendances du projet ou d’ex\u00e9cuter des scripts arbitraires lors de l’installation.<\/p>\n “Le manifeste d’un package npm est publi\u00e9 ind\u00e9pendamment de son archive tar”, Darcy Clarke, ancien responsable de l’ing\u00e9nierie GitHub et npm, a dit<\/a> dans un article technique publi\u00e9 la semaine derni\u00e8re. “Les manifestes ne sont jamais enti\u00e8rement valid\u00e9s par rapport au contenu de l’archive.”<\/p>\n “L’\u00e9cosyst\u00e8me a largement suppos\u00e9 que le contenu du manifeste et de l’archive tar \u00e9tait coh\u00e9rent”, a ajout\u00e9 Clarke.<\/p>\n Le probl\u00e8me, \u00e0 la base, provient du fait que les m\u00e9tadonn\u00e9es du manifeste et du package sont d\u00e9coupl\u00e9es et qu’elles ne sont jamais r\u00e9f\u00e9renc\u00e9es les unes par rapport aux autres, ce qui entra\u00eene un comportement inattendu et une mauvaise utilisation en cas de non-concordance.<\/p>\n En cons\u00e9quence, un acteur malveillant pourrait exploiter cette faille pour publier un module avec un fichier manifeste (package.json) contenant des d\u00e9pendances cach\u00e9es ainsi que pour ex\u00e9cuter des scripts d’installation, ce qui pourrait alors ouvrir la voie \u00e0 une attaque de la cha\u00eene d’approvisionnement et \u00e0 l’empoisonnement de l’environnement d’un d\u00e9veloppeur.<\/p>\n “La confusion manifeste devient probl\u00e9matique dans les environnements de d\u00e9veloppement sans workflows et outils DevSecOps efficaces en place, en particulier lorsque les applications font aveugl\u00e9ment confiance aux manifestes d’application plut\u00f4t qu’aux fichiers r\u00e9els (vuln\u00e9rables ou malveillants) contenus dans les packages open source”, a d\u00e9clar\u00e9 Ax Sharma, chercheur et journaliste \u00e0 Sonatype. a dit<\/a>.<\/p>\n La d\u00e9couverte souligne le fait que les m\u00e9tadonn\u00e9es contenues dans les fichiers manifestes de package seuls ne peuvent pas \u00eatre invoqu\u00e9es lors du t\u00e9l\u00e9chargement d’un package \u00e0 partir du r\u00e9f\u00e9rentiel open source, ce qui oblige les utilisateurs \u00e0 prendre des mesures pour analyser les packages<\/a> pour toutes les fonctionnalit\u00e9s et exploits anormaux.<\/p>\n GitHub, selon Clarke, serait au courant du probl\u00e8me depuis au moins d\u00e9but novembre 2022, la filiale de Microsoft d\u00e9clarant qu’elle pr\u00e9voyait de le r\u00e9soudre en interne \u00e0 partir de mars 2023. Le probl\u00e8me, cependant, reste non r\u00e9solu \u00e0 ce jour.<\/p>\n En l’absence de correctif officiel, le chercheur en s\u00e9curit\u00e9 Felix Pankratz a mis \u00e0 disposition un Script Python<\/a> qui peut \u00eatre utilis\u00e9 pour tester les incompatibilit\u00e9s entre les manifestes dans les modules npm.<\/p>\n Le d\u00e9veloppement intervient \u00e9galement alors que la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 des d\u00e9veloppeurs Snyk, en partenariat avec Redhunt Labs, a examin\u00e9 11 900 r\u00e9f\u00e9rentiels du 1 000 principales organisations GitHub<\/a> pour les d\u00e9pendances non s\u00e9curis\u00e9es, d\u00e9couverte de 1\u00a0229\u00a0601 failles dans 15\u00a0584 fichiers de d\u00e9pendances vuln\u00e9rables.<\/p>\n “D\u00e9s\u00e9rialisation des donn\u00e9es non fiables<\/a> \u00e9tait le type de vuln\u00e9rabilit\u00e9 le plus r\u00e9pandu avec 130 831 occurrences dans les r\u00e9f\u00e9rentiels Java, ce qui en fait 40 % du total des vuln\u00e9rabilit\u00e9s identifi\u00e9es \u00bb, selon l’\u00e9tude a dit<\/a>.<\/p>\n Dans les projets bas\u00e9s sur JavaScript, pollution prototype<\/a> est apparu comme la principale lacune avec 343 332 occurrences. D\u00e9ni de service (DoS<\/a>) ont contribu\u00e9 le plus aux projets Python et Ruby avec respectivement 19\u00a0652 et 56\u00a0331 occurrences.<\/p>\n “La menace de d\u00e9pendances vuln\u00e9rables perturbant l’\u00e9tat de s\u00e9curit\u00e9 des cha\u00eenes d’approvisionnement logicielles est l\u00e0 pour rester”, ont d\u00e9clar\u00e9 les chercheurs en s\u00e9curit\u00e9 Umair Nehri et Vandana Verma Sehgal. “Ainsi, les d\u00e9veloppeurs doivent \u00eatre prudents avec les d\u00e9pendances qu’ils utilisent dans leurs projets et les tenir \u00e0 jour pour les prot\u00e9ger de toute vuln\u00e9rabilit\u00e9 connue.”<\/p>\n <\/p>\n![\"Attaque](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2023\/07\/1688576557_800_Attention-aux-utilisateurs-de-Nodejs-lattaque-Manifest-Confusion-ouvre-la.png\" "\\"Attaque")
<\/div>\n