GitHub, npm paketlerinin ele geçirilip kötü amaçlı güncellemelerle dağıtılmasını zorlaştırmak için yayın doğrulama sürecini değiştirdi. Şirket, ilk başarılı yayımdan sonra bir paketin yapılandırmasının doğrulanmış sayılacağını ve süresi dolmuş gibi işaretlenmeyeceğini açıkladı.
Bu adım, yayın ayarındaki bir kusurun 1.500’den fazla paketi ele geçirme girişimlerine açık bırakmasının ardından geldi. Saldırganlar, paket sahipliğini ya da yayın akışını hedef alarak meşru bir npm paketi üzerinden zararlı içerik dağıtabiliyordu.
Yayın sonrası doğrulama kalıcı hale geliyor
GitHub’ın getirdiği yeni yaklaşım, başarılı ilk yayın sonrasında paketin yapılandırmasının geçerliliğini korumasına dayanıyor. Böylece kötü niyetli bir aktörün, doğrulama sürecindeki boşluklardan yararlanıp paketi yayın zinciri içinde ele geçirmesi daha zor hale geliyor.
npm ekosisteminde bir paketin ele geçirilmesi, aynı bağımlılık zincirine bağlı çok sayıda uygulamaya zararlı sürümlerin ulaşmasına yol açabiliyor. Bu nedenle yayın güvenliği, yalnızca paket sahibi için değil, paketi çeken geliştiriciler ve kurumlar için de kritik.
1.500’den fazla paket risk altına girdi
Şirketin düzeltmeyi devreye almasına neden olan kusur, 1.500’ün üzerinde paketi hijacking girişimlerine karşı savunmasız bıraktı. Açığın ayrıntıları, paket yayın sürecindeki doğrulama mantığının belirli koşullarda yeterince sıkı çalışmamasına dayanıyordu.
GitHub, yeni kuralın bu boşluğu kapatmayı amaçladığını belirtti. NPM yayın ekosisteminde yapılan bu değişiklikle birlikte, ilk başarılı yayından sonra yapılandırmanın doğrulanmış kabul edilmesi ve süresinin dolmaması sağlanıyor.