GitHub仅用6小时修复NPM JavaScript注册表_砍柴网

首页 > 科技快报 > 业界 >

GitHub仅用6小时修复NPM JavaScript注册表

2021-11-18 16:35

GitHub 今天表示，团队已经修复了 NPM（Node Package Manager）JavaScript 注册表中一个长期存在的问题，该问题将允许攻击者在没有适当授权的情况下更新任何软件包。首席安全官 Mike Hanley 昨天发布了这个问题，这个问题是由安全研究人员 Kajetan Grzybowski 和 Maciej Piechota 于 11 月 2 日报告的，并在6小时内修复。

这一令人印象深刻的速度与该漏洞存在的时间长短形成鲜明对比，据说比“我们有可用的遥测数据的时间框架要长，可以追溯到 2020 年 9 月”。
该漏洞是基于一个熟悉的不安全模式，即系统正确地验证了一个用户，但随后允许访问超出该用户的权限。在这种情况下，NPM 服务正确地验证了一个用户被授权更新一个包，但“对注册表数据进行底层更新的服务根据上传的包文件的内容来决定发布哪个包”。
NPM 是数百万开发者的重要资源；例如，最受欢迎的软件包之一是 lodash，这是一个 JavaScript 工具库，每天被下载约 700 万次。这样一个软件包的恶意版本的后果将是严重的，这就是为什么 Hanley 补充说，“我们可以非常自信地说，这个漏洞至少自2020年9月以来没有被恶意利用过”。
【来源：希恩贝塔】

共有评论0条

相关推荐
超越美国！2030年印度软件开发者数量将登顶全球第一
GitHub最新预测：到2030年印度软件开发者数量将超美国，登顶全球
澳大利亚新规将生效，GitHub或被列为危害未成年人的社交媒体平台
Anthropic 全面开放 Claude AI 的 GitHub 集成，赋能所有开发者
GitHub Copilot 推出视觉功能：图片可秒变代码
Python成GitHub最受欢迎编程语言，AI成主要推动力
谁泄露了推特源代码？法院要求微软旗下 GitHub 提供发布者信息
苹果在GitHub上的开源代码出现新的“realityOS”引用
微软旗下开源平台GitHub宣布裁员：10%员工将另谋出路
GitHub遭到攻击 入侵者窃取了代码签名证书
微软 GitHub 宣布弃用 Git.io 缩址服务
开发者自己破坏 GitHub 两个知名开源库，大量用户受影响
微软 GitHub 大幅改进代码搜索功能，已发布技术预览版
包含敏感数据数千个Firefox cookie出现在GitH
GitHub：30％的新写代码都是在AI编程工具Copilo
微软 GitHub 竞争对手 GitLab 宣布计划在纳斯达克上市
GitHub收购代码分发公司NPM，吸引Java开发者
全球最大软件开发平台GitHub寻求在华开设子公司
程序员欢呼，GitHub推出首款原生移动应用程序
GitHub回应突然对伊朗/叙利亚断供：身不由己
GitHub宣布已有3600万用户 还推出为项目捐款功能
GitHub上线打赏计划 将允许用户为开发人员提供资金
微软大谈Azure云服务更新：与GitHub社区相配合
科技晚报：华为正与高通谈判专利和解 苹果或将大规模生产iPhoneXE
GitHub等代码库遭黑客入侵 仅索要566美元
最新文件显示微软75亿美元收购GitHub支付13亿美元现金
微软宣布完成收购GitHub，周一上任的新CEO有三个目标
欧盟批准微软75亿美元收购开源代码库GitHub
谷歌还不死心，重新推出云端代码平台对抗GitHub
谷歌曾洽购GitHub，但被微软抢占先机
借开发者“撬动”用户，才是微软重金收购GitHub的背后逻辑
GitHub本来是跟谷歌谈收购的 为何最终选择了微软
微软：收购GitHub后不封杀亚马逊谷歌等竞争对手服务
曾反对开源软件，现在要买GitHub，微软是怎么想的？
传微软拟收购创企GitHub 打造对抗亚马逊王牌武器
大量的开源项目转移至GitHub 微软不得不屈服
GitHub赢了：微软将关闭代码托管服务CodePlex
做开源项目的是什么样的人？
GitHub是怎样一个网站，为什么会招致大规模DDoS 攻击并受高度关注

<返回

<返回首页

Copyright CmsTop.com
2025年12月17日 07:34:28