Dependency Confusion
最后更新于
最后更新于
简而言之,依赖混淆漏洞发生在项目使用具有拼写错误、不存在或未指定版本的库,并且所使用的依赖库允许从公共存储库中获取更新版本时。
拼写错误:导入**reqests
**而不是requests
不存在:导入company-logging
,一个不再存在的内部库
未指定版本:导入一个内部的存在的company-requests
库,但存储库检查公共存储库以查看是否有更高版本。
在所有情况下,攻击者只需发布一个带有受害公司使用的库名称的恶意软件包。
如果您的公司试图导入一个不存在的库,很可能库的存储库会在公共存储库中搜索它。 如果攻击者已经创建了它,您的代码和运行的机器很可能会受到威胁。
开发人员很常见不指定库的任何版本,或者只指定一个主要版本。 然后,解释器将尝试下载符合这些要求的最新版本。
如果库是一个已知的外部库(如python requests
),攻击者无法做太多事情,因为他将无法创建一个名为requests
的库(除非他是原始作者)。
但是,如果库是内部的,就像在这个示例中的requests-company
,如果库存储库允许在外部也检查新版本,它将搜索公开可用的更新版本。
因此,如果攻击者知道公司正在使用requests-company
库版本1.0.1(允许次要更新)。 他可以发布库requests-company
版本1.0.2,公司将使用该库而不是内部库。
这个漏洞在AWS的CodeArtifact中发现(阅读这篇博客文章中的详细信息)。 AWS通过允许指定库是内部还是外部来修复了这个问题,以避免从外部存储库下载内部依赖项。
在关于依赖混淆的原始帖子中,作者搜索了数千个包含JavaScript项目依赖项的package.json文件。