NPM 12.0, 'n pakketbestuurder wat by Node.js ingesluit is en gebruik word om JavaScript-modules te versprei, is vrygestel. Die nuwe weergawe is opmerklik vir die standaardverwydering van skripte tydens pakketinstallasie. Daar word verwag dat hierdie verandering afhanklikheidsaanvalle sal kompliseer en die verspreiding van wurms wat deur installasieskripte geaktiveer word, sal vertraag.
Om te verhoed dat skripte wat in package.json gespesifiseer is, outomaties uitgevoer word via die voorinstallasie-, installeer- of nainstallasie-parameters, is die allowScripts-instelling nou standaard op "af" gestel. Die uitvoering van sulke skripte, sowel as die node-gyp-hulpprogram se C/C++-kodesamestelling indien die pakket 'n binding.gyp-lêer bevat, word nou slegs uitgevoer met eksplisiete gebruikersinstruksies. Daarbenewens is die parameters "--allow-git" en "--allow-remote" nou standaard op "geen" gestel, wat die outomatiese aflaai van afhanklikhede vanaf Git-bewaarplekke en direkte skakels na webwerwe met tarballs deaktiveer.
Om installasieskripte te aktiveer, gebruik die "npm approve-scripts"-opdrag, wat die name van vertroude pakkette as argumente deurgee, of die "--all"-opsie om alle pakkette toe te laat. Vir twyfelagtige pakkette word dit aanbeveel om "npm approve-scripts --allow-scripts-pending" uit te voer, wat die hangende skripte sal lys. Nadat hierdie skripte nagegaan is, kan hulle toegelaat word met behulp van "npm approve-scripts" en op die witlys geplaas word in package.json.
Daarbenewens is 'n verbod op die gebruik van Granulêre Toegangstokens (GAT) wat gekonfigureer is vir aksies sonder tweefaktor-verifikasie (2FA) in die NPM-bewaarplek aangekondig. Vanaf Augustus sal sulke tokens nie bewerkings soos die skep of verwydering van tokens, die verandering van profiele, wagwoorde of e-posadresse, die opstel van tweefaktor-verifikasie, die generering van herstelkodes, die verandering van toegangsregte of die bestuur van onderhouers sonder bykomende handmatige bevestiging toelaat nie.
In Januarie 2027 sal direkte pakketpublikasie met behulp van tokens wat 2FA omseil, verbied word. Pakkette sal egter in die opstelafdeling gepubliseer kan word, waar hulle sal bly totdat die vrystelling handmatig deur die onderhouer goedgekeur word. Na handmatige goedkeuring sal die gepubliseerde pakkette beskikbaar wees vir installasie deur gebruikers.
Vir outomatiese publikasie stel ons voor om die "Vertroude Uitgewers"-meganisme te gebruik, wat gebaseer is op die OpenID Connect (OIDC)-standaard en tydsbeperkte verifikasietokens wat tussen eksterne dienste en die pakketkatalogus uitgeruil word om die pakketpublikasiebewerking te bevestig, in plaas van tradisionele wagwoorde of volgehoue API-toegangstokens te gebruik.
Bron: opennet.ru
