npmのTrusted Publishingに欠陥、認証情報なしで悪意あるパッケージを乗っ取り可能に
セキュリティ研究者らが、npmのTrusted Publishingに存在する弱点を発見しました。この弱点を突かれると、攻撃者はメンテナーの認証情報を盗まなくても、悪意あるリリースを公開できてしまう可能性があります。 研究者らによると、「SlugFest」と名付けられたこの問題は、累計ダウンロード数が1,000万回を
セキュリティ研究者らが、npmのTrusted Publishingに存在する弱点を発見しました。この弱点を突かれると、攻撃者はメンテナーの認証情報を盗まなくても、悪意あるリリースを公開できてしまう可能性があります。 研究者らによると、「SlugFest」と名付けられたこの問題は、累計ダウンロード数が1,000万回を
npmの信頼モデルに弱点があり、攻撃者が放棄されたGitHubリポジトリ名を取得することで、正規パッケージに更新版を公開できてしまう恐れがあることが、研究者の調査で判明しました。 npmのTrusted P