NPM: GitHub corrige falha que expôs mais de 1.500 pacotes de software a invasões

Uma vulnerabilidade na plataforma de hospedagem de código GitHub e no gerenciador de pacotes npm expôs mais de 1.500 pacotes de software a invasões, sem precisar roubar credenciais ou senhas. A falha, revelada por pesquisadores da empresa de cibersegurança Bloom Security, possibilitava a inclusão de arquivos maliciosos em programas legítimos, o que afetou diretamente ferramentas e agentes de inteligência artificial (IA) que baixam dependências de forma automática. Em resposta às descobertas, o GitHub alterou as regras de validação do sistema para conter o risco.

A brecha estava localizada no mecanismo “publicação confiável” (Trusted Publishing), lançado em julho do ano passado para substituir o uso de senhas e tokens de longa duração por credenciais temporárias. O sistema tinha como objetivo aumentar a segurança, porém apresentava uma vulnerabilidade na forma como identificava os repositórios de código.

Em vez de registrar o número de identificação permanente atribuído pelo GitHub, o npm checava apenas o endereço legível, conhecido como slug (formado pelo nome do proprietário e do projeto). Assim, caso um desenvolvedor trocasse o nome do perfil, transferisse ou apagasse o projeto, o endereço antigo ficava livre para ser registrado por qualquer outra pessoa e mantinha a confiança prévia do sistema.