Dependency Confusion — Supply Chain Attack (Confusion de dépendances)

Définition

La confusion de dépendances (dependency confusion) est une technique d'attaque de la chaîne d'approvisionnement logicielle découverte publiquement par Alex Birsan en 2021, qui lui a permis d'exécuter du code sur des systèmes internes de Microsoft, Apple, PayPal et des dizaines d'autres grandes entreprises. L'attaque exploite la logique de résolution des packages de gestionnaires comme npm, pip ou RubyGems : si une organisation utilise des packages internes privés et qu'un attaquant publie un package public portant le même nom avec un numéro de version supérieur, le gestionnaire de packages peut automatiquement télécharger la version publique malveillante. La remédiation implique l'utilisation de registres privés avec scope namespacing (@company/package-name pour npm), le pinning strict des versions (hash cryptographique), l'utilisation d'un proxy de registre vérifiant les packages entrants, et la configuration explicite des sources autorisées. Des outils comme pip --trusted-host, npm --registry ou la configuration de Artifactory/Nexus avec des politiques d'inclusion aident à prévenir ces attaques.