Bölüm 41 “Parola”: CISA'nın Vizyonları, XSLT düşüşü, NPM'den kusur

Podcast'lerin ev sahipleri kısa sürede iyileşti, ancak taşandı ve açıklandığı gibi bu bölümde Phrack'tan bahsetmedi. Bunun yerine, podcast Amerika Birleşik Devletleri BT güvenliğinin CISA planlarından başlayarak mevcut gelişmeleri yapmaya devam ediyor. CVE sistemi ve özellikle de bu zayıflık için merkezi veritabanı sona ermek üzere olduğu için, bir durumun Mayıs 2025'teki gibi tekrarlanmasını önlemek ister. Bu, küresel olarak çok fazla heyecana neden oldu ve sözleşme şu an sadece bir yıl boyunca uzatıldığı için güveni yok etti. Şimdi CISA, CVE sisteminin geleceğinin nasıl hayal ettiğini yayınladı. Christopher ve Sylvester pozisyon belgesine bakar ve iyi planlar mı yoksa sinsi taktikler olup olmadığını tartışırlar.

Buna ek olarak, bölüm 41, bir Chrome çalışanı tarafından kamuya açıklanan “Web Platformu” tarafından XSLT'yi yasaklama fikrinden bahsediyor. Bu, birçok durumda korkuları uyandırdı, Google pazar gücüyle çıkarlarını tekrar zorlayacaktı. Bununla birlikte, daha dikkatli bir sınavda, teklifin iyi nedenleri olduğu ortaya çıkıyor – ve görünüşe göre Google'dan ayrılmadı. Ev sahipleri önce açıklar (hafif konvülsiyonlarla başkalaşım Nostalji) XSLT'nin ne olduğu ve dolayısıyla artıları ve eksileri tartışın.

Son olarak, Christopher ve Sylvester, NPM'deki mevcut saldırılara bir göz atıyor. JavaScript paketlerinin bu yöneticisinin devasa altındaki paketler farklı dalgalara sızmıştır; Sonunda bir solucanla, yani daha fazla yayılabilen bir kötü amaçlı yazılım. Shai-hulud, Frank Herbert'in “Dune” döngüsündeki devasa kum kurdu gibi Beast olarak adlandırılır. Hasar potansiyeli ile ilgili olarak, tüm saldırı dalgalarında inanılmaz etki şaşırtıcı derecede düşüktü. Bununla birlikte, ne solucan dünyadan çıkarılmaz ne de saldırıların arkasında kimin olduğu açık değildir. Konuklar, NPM ekosisteminin tedarik zincirinin bu saldırılarına genel duyarlılığını azaltmak için iyi olacağını kabul ediyorlar. Sonuçta, GitHub işletim şirketi de bunu tanıdı ve kısa bir süre önce bu podcast dizisinin yayınlanmasından kısa bir süre önce NPM'yi garanti etmek için fikirlerini özetledi.

“Parola-Haberler Security Podcast” nin son bölümü Çarşamba sabahı tüm podcast platformlarını dinlemek için mevcuttu.

(Syt)