GitHub 1500-dən Çox npm Paketini Təhdid Edən Boşluqdan Sonra Nəşr Təhlükəsizliyini Gücləndirir

npm Paketlərindəki Ciddi Zəiflik

GitHub, proqram təminatı tərtibatçıları arasında geniş istifadə olunan `npm` ekosistemində aşkar edilmiş kritik bir təhlükəsizlik boşluğuna cavab olaraq nəşr mexanizmlərini sərtləşdirmək qərarına gəlib. Təhlükəsizlik tədqiqatçılarının araşdırmaları nəticəsində məlum olub ki, bu zəiflik hücum edənlərə başqa bir istifadəçinin `npm` paketinin yeni versiyalarını, onların etibarnamələrini oğurlamağa ehtiyac olmadan yükləməyə imkan verib.

Bu vəziyyət, 1500-dən çox `npm` paketinin potensial olaraq hücumçular tərəfindən idarə olunma riskini yaratmış və təhlükəli kodun geniş yayılmış proqram təminatı komponentlərinə yerləşdirilməsi təhlükəsini əhəmiyyətli dərəcədə artırmışdır.

GitHub-ın Yeni Təhlükəsizlik Tədbirləri

Aşkar olunmuş boşluğun qarşısını almaq məqsədilə, Microsoft-a məxsus olan GitHub, `npm trusted publishing configurations` istifadəsini yenidən nəzərdən keçirib. Yeni siyasətə əsasən, yoxlanılmamış bu konfiqurasiyalar yaradıldıqdan 48 saat sonra etibarsız elan ediləcək.

Şirkət bildirir ki, hər hansı bir konfiqurasiya ilk uğurlu nəşrindən sonra “yoxlanılmış” statusu qazanacaq və bu 48 saatlıq müddətdən azad ediləcək. Bu addım, `npm` ekosistemindəki təhlükəsizliyi gücləndirməyə və potensial `supply chain` hücumlarının riskini azaltmağa yönəlib, beləliklə tərtibatçıları öz nəşr konfiqurasiyalarını daha diqqətlə idarə etməyə sövq edir.