<summary><strong>Lernen Sie AWS-Hacking von Null auf Held mit</strong><ahref="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Experte)</strong></a><strong>!</strong></summary>
* Arbeiten Sie in einem **Cybersicherheitsunternehmen**? Möchten Sie Ihr **Unternehmen in HackTricks beworben sehen**? Oder möchten Sie Zugriff auf die **neueste Version des PEASS oder HackTricks als PDF herunterladen**? Überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)!
* Holen Sie sich das [**offizielle PEASS & HackTricks-Merch**](https://peass.creator-spring.com)
* **Treten Sie der** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie mir auf **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an das [HackTricks-Repository](https://github.com/carlospolop/hacktricks) und das [HackTricks-Cloud-Repository](https://github.com/carlospolop/hacktricks-cloud)** senden.
Zusammenfassend tritt eine Abhängigkeitsverwirrung auf, wenn ein Projekt eine Bibliothek mit einem **falsch geschriebenen** Namen, **nicht existierendem** oder **nicht spezifizierter Version** verwendet und das verwendete Abhängigkeits-Repository es erlaubt, **aktualisierte Versionen aus öffentlichen** Repositories zu sammeln.
* **Falsch geschrieben**: Importiere **`reqests`** anstelle von `requests`
* **Nicht existierend**: Importiere `company-logging`, eine interne Bibliothek, die **nicht mehr existiert**
* **Nicht spezifizierte Version**: Importiere eine **interne****existierende**`company-requests`-Bibliothek, aber das Repo überprüft **öffentliche Repos**, um zu sehen, ob es **neuere Versionen** gibt.
Wenn Ihr Unternehmen versucht, eine **nicht interne Bibliothek zu importieren**, wird das Bibliotheks-Repo höchstwahrscheinlich in **öffentlichen Repositories** danach suchen. Wenn ein Angreifer es erstellt hat, wird Ihr Code und Ihre Maschinen höchstwahrscheinlich kompromittiert.
Es ist sehr üblich, dass Entwickler **keine Version spezifizieren** oder nur eine **Hauptversion** angeben. Dann wird der Interpreter versuchen, die **neueste Version** herunterzuladen, die diesen Anforderungen entspricht.\
Wenn die Bibliothek eine **bekannte externe Bibliothek** ist (wie Python `requests`), kann ein **Angreifer nicht viel tun**, da er keine Bibliothek namens `requests` erstellen kann (es sei denn, er ist der ursprüngliche Autor).\
Wenn die Bibliothek jedoch **intern** ist, wie `requests-company` in diesem Beispiel, und das **Bibliotheks-Repo** es erlaubt, **auch extern nach neuen Versionen zu suchen**, wird nach einer öffentlich verfügbaren neueren Version gesucht.\
Wenn ein **Angreifer weiß**, dass das Unternehmen die `requests-company`-Bibliothek **Version 1.0.1** verwendet (geringe Updates zulässt), kann er die Bibliothek `requests-company`**Version 1.0.2** veröffentlichen, und das Unternehmen wird **diese Bibliothek anstelle der internen verwenden**.
Diese Schwachstelle wurde in AWS **CodeArtifact** gefunden (lesen Sie die [**Details in diesem Blog-Beitrag**](https://zego.engineering/dependency-confusion-in-aws-codeartifact-86b9ff68963d)).\
AWS hat dies behoben, indem es ermöglicht wurde, anzugeben, ob eine Bibliothek intern oder extern ist, um das Herunterladen interner Abhängigkeiten aus externen Repositories zu vermeiden.
In dem [**ursprünglichen Beitrag zur Abhängigkeitsverwirrung**](https://medium.com/@alex.birsan/dependency-confusion-4a5d60fec610) suchte der Autor nach Tausenden von freigegebenen package.json-Dateien, die die Abhängigkeiten von JavaScript-Projekten enthalten.
<summary><strong>Lernen Sie AWS-Hacking von Null auf Held mit</strong><ahref="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Experte)</strong></a><strong>!</strong></summary>
* Arbeiten Sie in einem **Cybersicherheitsunternehmen**? Möchten Sie Ihr **Unternehmen in HackTricks beworben sehen**? Oder möchten Sie Zugriff auf die **neueste Version des PEASS oder HackTricks als PDF herunterladen**? Überprüfen Sie die [**ABONNEMENTPLÄNE**](https://github.com/sponsors/carlospolop)!
* Holen Sie sich das [**offizielle PEASS & HackTricks-Merch**](https://peass.creator-spring.com)
* **Treten Sie der** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord-Gruppe**](https://discord.gg/hRep4RUj7f) oder der [**Telegram-Gruppe**](https://t.me/peass) bei oder **folgen** Sie mir auf **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**.**
* **Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an das [HackTricks-Repository](https://github.com/carlospolop/hacktricks) und das [HackTricks-Cloud-Repository](https://github.com/carlospolop/hacktricks-cloud)** senden.
