dependency confusion атака
-
Статья Supply Chain атака npm: как истёкший домен компрометирует тысячи проектов
При аудите зависимостей fintech-сервиса я наткнулся на пакет, мейнтейнер которого привязал npm-аккаунт к email на домене со статусом pendingDelete в whois. Домен можно было зарегистрировать за стоимость чашки кофе. Дальше - сброс пароля npm, публикация patch-версии с произвольным payload, и...- Сергей Попов
- Тема
- dependency confusion атака node-ipc вредоносный код npm registry безопасность shai-hulud червь npm supply chain атака npm атака на цепочку поставок npm вредоносные пакеты npm захват домена мейнтейнера npm уязвимость npm пакетов
- Ответы: 0
- Раздел: Облачная безопасность и DevSecOps
-
Статья Атаки на supply chain GitHub: username hijacking, угон репозиториев и защита CI/CD
На последнем аудите CI/CD - организация с монорепозиторием на 200+ микросервисов - я нашёл в workflow-файлах 14 ссылок на GitHub Actions, чьи namespace'ы принадлежали удалённым или переименованным аккаунтам. Любой мог зарегистрировать эти имена и получить выполнение произвольного кода внутри...- Сергей Попов
- Тема
- ci/cd безопасность dependency confusion атака github username hijacking supply chain attack атаки на supply chain github безопасность ci/cd pipeline угон репозитория github
- Ответы: 0
- Раздел: Общение и нетворкинг