NPM-пакет с миллионными загрузками можно угнать из-за уязвимости

NPM-пакет с миллионными загрузками можно угнать из-за уязвимости

NPM-пакет с миллионными загрузками можно угнать из-за уязвимости

В популярном npm-пакете с 3,5 млн еженедельных загрузок нашли уязвимость, которая может привести к перехвату учётной записи. О проблеме рассказали исследователи из компании Illustria, которым удалось с помощью бага сбросить пароль GitHub-аккаунта.

«Контроль над пакетом можно перехватить, восстановив истёкшее доменное имя одного из мейнтейнеров и сбросив пароль», — гласит отчёт Illustria.

Как правило, защитные механизмы npm позволяют использовать только один адрес электронной почты аккаунта. Тем не менее специалистам Illustria удалось восстановить пароль от целевой учётной записи с помощью интересной лазейки.

Выявленный вектор атаки позволяет злоумышленникам получить доступ к пакету, связанному с затронутым GitHub-аккаунтом. Такой доступ можно использовать для публикации троянизированных версий пакетов.

Атакующим может помочь функциональность GitHub Action, подразумевающая, что в репозитории изменённые версии пакетов будут публиковаться автоматически при изменении кода.

«Даже если для аккаунта мейнтейнера настроена двухфакторная аутентификация, токен автоматизации обойдёт её», — объясняет Богдан Кортнов, сооснователь Illustria.

 

Illustria пока не раскрывает имя пакета, но уже сообщила ответственным лицам о проблеме.

К 2030 году у каждого россиянина появится цифровой медицинский профиль

К 2030 году у каждого россиянина должен появиться цифровой медицинский профиль. Об этом заявил глава Минздрава Михаил Мурашко на расширенном заседании коллегии ведомства, где обсуждали итоги работы за 2025 год и планы на 2026-й.

По словам министра, к этому же сроку в стране должны завершить создание единой цифровой платформы для управления здоровьем.

Идея в том, чтобы собрать в одной системе всё, что связано с пациентом: данные о состоянии здоровья, сведения о маршруте лечения, информацию о ресурсах медорганизаций и даже о компетенциях врачей.

Фактически Минздрав продолжает линию на постепенный отказ от бумажного формата. Цифровизация в медицине идёт не первый год, но теперь акцент явно смещается с отдельных сервисов на единую платформу, которая должна связать данные, учреждения и врачей в общий контур.

Параллельно министерство собирается ещё активнее расширять применение искусственного интеллекта. Причём ИИ хотят использовать не только в диагностике и лечении, но и в более рутинных задачах: для составления расписаний, голосового ввода протоколов и запуска чат-ботов для пациентов.

Если всё это действительно дойдёт до полноценной реализации, для пациентов это должно означать более связанную и удобную систему: меньше бумажной волокиты, быстрее доступ к данным и более цельную картину лечения.

Но, как обычно бывает с такими большими цифровыми проектами, главный вопрос будет не только в сроках, но и в том, насколько аккуратно получится собрать всё это в одну работающую систему.

RSS: Новости на портале Anti-Malware.ru