GitHub تضيف مهلة انتهاء مدتها 48 ساعة لإعدادات النشر الموثوق غير المُتحقَّق منها في npm

غيّرت GitHub طريقة عمل النشر الموثوق في npm بعد أن أظهر باحثون وجود خلل يتيح لمهاجم نشر إصدارات جديدة من حزمة تعود لمستخدم آخر، دون الحاجة إلى سرقة بيانات اعتماد ذلك المستخدم.

ما الذي تغيّر

بموجب القاعدة الجديدة، تنتهي صلاحية إعداد النشر الموثوق الذي لم يُتحقَّق منه بعد 48 ساعة من إنشائه. وتوضح GitHub أن الإعداد يصبح مُتحقَّقًا منه ومعفى من الانتهاء بمجرد نجاح أول عملية نشر. ويذكر عنوان الخبر أن أكثر من 1,500 حزمة كانت عرضة للاختطاف بسبب هذا الخلل.

أهمية الخبر

يهدف النشر الموثوق إلى الاستغناء عن الرموز طويلة الأمد في مسارات الإصدار. ولذلك فإن أي ضعف في هذه الآلية مهم، إذ قد يصل إصدار خبيث إلى المستخدمين عبر تحديث اعتيادي دون وجود سرقة بيانات اعتماد يمكن رصدها. وترث الجهات التي تعتمد على حزم npm، مباشرة أو عبر مورّديها، هذا التعرض.

لا يوضح المقتطف المتاح من المصدر كيفية استغلال الخلل، ولا ما إذا كان قد استُغل فعليًا، ولا أسماء الحزم المتأثرة. لذا ينبغي عدم افتراض أي من ذلك، والتحقق بدلًا منه من الإعدادات والاعتماديات الخاصة بكل جهة.

نظرة عملية

يضيّق انتهاء الصلاحية بعد 48 ساعة النافذة التي قد يُساء فيها استخدام إعداد معلّق غير مُتحقَّق منه، لكنه لا يغني عن مراجعة الإعدادات القائمة. وعلى مسؤولي الحزم التأكد من أن كل إعداد نشر موثوق مقصود وأنه أتمّ أول عملية نشر مشروعة.