ほぼ確実に侵入可能？ 正規プログラムを乗っ取る「スクワッティング」の脅威

関連キーワード OSS | JavaScript | オープンソース | 脆弱性対策 | アプリケーション開発 | セキュリティホール セキュリティ研究者のアレックス・ビルサン氏とジャスティン・ガードナー氏は、ソースコード保管場所であるレジストリに、偽のソースコードを忍び込ませる攻撃手法を発見した。この攻撃手法は、オープンソースソフトウェア（OSS）のパッケージ（拡張機能群）のうち、企業が社内でホストしているプライベートなパッケージの名前が、ソースコード共有サービス「GitHub」で誤って公開されていたことを悪用。正規のプライベートパッケージを偽った悪質なソースコードをレジストリにアップロードすることで、標的企業に偽のソースコードをダウンロードさせ、標的に侵入する。 「ほぼ確実に侵入可能」 スクワッティングの本当の怖さ

[gabill]

続きが読めないので妄想してみる。複数のホスティングサービスから「AになければBをみる」という形で参照していて、本来ないはずのAを占拠すればBに見にいく前にDLさせる事が出来る、という脆弱性かな。

[kazkun]

えっとこれは https://gigazine.net/news/20210215-dependency-confusion-package-exploited/ なのか。npm、pip、gemsなんかのパッケージマネージャの特性を使って内部パッケージを、悪意の公開パッケージで置き換えさせる仕組みっぽい。