Domain-Hijacking: Tausende NPM-Accounts könnten sich übernehmen lassen

Laut einer Untersuchung lassen sich verwaiste NPM-Pakete leicht übernehmen. Außerdem könnten einige Maintainer überarbeitet sein.

Artikel veröffentlicht am 15. Februar 2022, 15:37 Uhr, Sebastian Grüner

Viele NPM-Pakete sind verwaist, einige könnten sich übernehmen lassen. (Bild: Spencer Platt/Getty Images)

Erst Anfang dieses Jahres zeigte sich, dass die Entscheidung eines einzelnen Maintainers im NPM-Ökosystem extrem große Auswirkungen haben könnte. Eine Forschungsgruppe der North Carolina State University, Raleigh, hat nun zusammen mit Microsoft Research die Metadaten der mehr als 1,5 Millionen NPM-Pakete auf mögliche Schwachstellen überprüft und etwa die Möglichkeit von leichten Account-Hijacks festgestellt.

Konkret handelt es sich dabei um die E-Mail-Adressen von 2.818 Maintainern, die zusammen fast 8.500 Pakete betreuen, welche bereits abgelaufene Domains benutzen. Da die Domains derzeit nicht mehr vergeben sind, könnten Angreifer diese schlicht auf sich selbst registrieren und so vergleichsweise einfach die hinterlegten E-Mail-Adressen übernehmen. Dazu muss nur ein DNS-Eintrag geändert werden.

So könnte der ursprüngliche Account auch zurückgesetzt werden und die eigentlichen Pakete der Maintainer manipuliert werden. Das Problem ist in dem konkreten Fall zwar noch klein. Laut der Untersuchung werden aber fast 80.000 einzigartige Domains von NPM-Betreuern genutzt. Die Möglichkeit der Account-Hijacks könnte langfristig also weiter bestehen, falls eine dieser Domains nicht mehr auf den jeweiligen Maintainer registriert ist.

Viele weitere Risiken

In der Untersuchung verweist das Team außerdem darauf, dass etwa 59 Prozent der NPM-Pakete verwaist sowie 44 Prozent der Maintainer inaktiv seien. Hierfür wird ein Zeitraum von mindestens zwei Jahren ohne Änderungen oder Neuerungen betrachtet. Darüber hinaus verwaltet das wichtigste 1 Prozent der NPM-Maintainer im Schnitt 180 Pakete, wovon wiederum 4.000 weitere abhängen.

Wie nicht anders zu erwarten, sind also vor allem alte und verwaiste Pakete wegen ihrer eventuell leichten Übernahmemöglichkeit sowie bestimmte Maintainer wegen deren großer Reichweite in dem Ökosystem ein lohnenswertes Ziel für Angriffe. Das hat auch NPM-Besitzer Github erkannt und führt deshalb langsam die zwingende Nutzung einer Zweifaktorauthentifizierung ein. Das soll das Potenzial von Account-Übernahmen verringern.