GitHub siết quy trình npm sau lỗ hổng có thể chiếm quyền hơn 1.500 gói
"GitHub updated npm trusted publishing to expire unvalidated configurations after 48 hours and require a first successful publish to bind trust to a repository's immutable identity. The change addresses a slug-reuse flaw in npm's OIDC-based publishing flow that could let attackers reclaim abandoned GitHub repository names and hijack more than 1,500 packages for malicious releases, with over 10 million downloads at risk."
Ảnh hưởng đến chuỗi cung ứng phần mềm; có thể dẫn tới chiếm quyền phát hành gói và phát tán bản dựng độc hại. Rủi ro tăng nếu repository bị đổi tên/chuyển giao/xóa.
Có thể gây gián đoạn pipeline CI/CD, làm tăng chi phí rà soát phụ thuộc và xử lý sự cố. Các gói bị ảnh hưởng có thể kéo theo rủi ro lan rộng tới hệ thống phụ thuộc.
GitHub đã cập nhật cơ chế npm trusted publishing để tự động hết hạn các cấu hình chưa được xác thực sau 48 giờ và yêu cầu lần publish thành công đầu tiên để gắn niềm tin với định danh bất biến của repository. Thay đổi này nhằm khắc phục một lỗi trong luồng OIDC của npm, nơi trust được neo theo slug dạng owner/repository thay vì repository ID cố định.
Theo phát hiện của Bloom Security, kẻ tấn công có thể tận dụng việc một tên repository bị bỏ trống sau khi đổi tên, chuyển chủ sở hữu hoặc xóa để tạo repository mới tại slug đó, rồi phát hành phiên bản độc hại dưới tên gói hợp lệ. Cách khai thác này có thể ảnh hưởng đến hơn 1.500 packages, với tổng cộng hơn 10 triệu lượt tải.
GitHub cũng cho biết npm sẽ từ chối trusted publishing tokens từ sự kiện GitHub Actions issue_comment, bên cạnh hạn chế đã có với pull_request_target. Với các đội vận hành, cần kiểm tra lại trusted publisher bindings, xác nhận slug còn trỏ đúng repository hiện tại, và xóa rồi tạo lại trust binding nếu repository đã được đổi tên hoặc chuyển giao. Nên theo dõi các gói phụ thuộc để phát hiện bản phát hành bất thường.