Dependency Confusion Attack - CI/CD用語集の定義

dependency confusion attack は、内部名のより高いバージョンを公開 registry に公開することで、意図した内部パッケージの代わりに悪意ある公開パッケージを package manager に取得させる攻撃です。

防御の方法

内部パッケージにスコープや namespace を付け、resolver がプライベートな名前を自分のプライベート registry からのみ取得するよう構成し、公開 registry がバージョンによって内部パッケージを上書きできないようにしましょう。