GitHub endurece las normas de publicación en npm tras una falla que dejó a más de 1.500 paquetes expuestos al secuestro

GitHub ha de­ci­di­do ex­pi­rar las con­fi­gu­ra­cio­nes de pu­bli­ca­ción con­fia­ble de npm que no hayan sido va­li­da­das en un plazo pos­te­rior a su crea­ción, a raíz del ha­llaz­go de una vul­ne­ra­bi­li­dad que per­mi­tía a ata­can­tes en­viar ver­sio­nes nue­vas de pa­que­tes aje­nos sin ne­ce­si­dad de robar cre­den­cia­les. Esta me­di­da busca mi­ti­gar los ries­gos aso­cia­dos con el cam­bio de pro­pie­dad de los re­po­si­to­rios y frena el uso de cier­tos even­tos en los flu­jos de tra­ba­jo.

La falla, des­cu­bier­ta y re­por­ta­da por in­ves­ti­ga­do­res, ra­di­ca­ba en que el sis­te­ma de au­ten­ti­ca­ción sin cre­den­cia­les de npm vin­cu­la­ba la con­fian­za al nom­bre le­gi­ble del re­po­si­to­rio en lugar de a un iden­ti­fi­ca­dor nu­mé­ri­co per­ma­nen­te, al menos hasta que se rea­li­za­ba la pri­me­ra pu­bli­ca­ción exi­to­sa. Si un ata­can­te re­cla­ma­ba un nom­bre de re­po­si­to­rio aban­do­na­do, trans­fe­ri­do o re­nom­bra­do, podía he­re­dar la con­fian­za y emi­tir un token para pu­bli­car mo­di­fi­ca­cio­nes ma­li­cio­sas en un pa­que­te que no le per­te­ne­cía, afec­tan­do la ca­de­na de su­mi­nis­tro.

Como parte de las re­co­men­da­cio­nes, se acon­se­ja a los de­sa­rro­lla­do­res au­di­tar los en­la­ces de edi­to­res con­fia­bles, eli­mi­nar y re­crear los víncu­los si el re­po­si­to­rio ha cam­bia­do de nom­bre o sido trans­fe­ri­do, y vi­gi­lar cual­quier even­to de pu­bli­ca­ción ines­pe­ra­do. Asi­mis­mo, el ar­tícu­lo men­cio­na an­te­ce­den­tes de pro­ble­mas si­mi­la­res en mer­ca­dos de ex­ten­sio­nes de otros pro­vee­do­res, donde es­pa­cios de nom­bres sin re­cla­mar tam­bién per­mi­tie­ron la in­ser­ción de có­di­go ma­li­cio­so.