Експеримент за създаване на NPM пакет, зависим от всички пакети в репозитория

Един от разработчиците на JavaScript пакети е провел експеримент за създаване и публикуване в репозитория NPM на пакета «everything», който обхваща като зависимости всички съществуващи пакети в репозитория. За реализиране на такава възможност пакетът «everything» е свързан с директни зависимости от пет пакета «@everything-registry/chunk-N», които от своя страна са свързани с повече от 3000 пакета «sub-chunk-N», всеки от които свързва 800 съществуващи пакета в репозитория.

Публикуването на «everything» в NPM доведе до два интересни ефекта. На първо място, пакетът «everything» стана своеобразен инструмент за извършване на DoS атаки, тъй като опитът за инсталиране на пакета води до изтегляне на милиони пакети, публикувани в NPM, и изчерпване на наличното дисково пространство или спиране на процесите по изграждане. Според статистиката, пакетът е бил изтеглен около 250 пъти, но няма нищо, което да възпрепятства добавянето му в зависимостите на друг пакет след хакване на акаунта на разработчика с цел извършване на диверсии. Освен това, случайно, атаката засяга някои услуги и инструменти, които извършват мониторинг и проверка на нови пакети, публикувани в NPM.

На второ място, публикацията на пакета «everything» фактически блокира възможността за изтриване на всякакви пакети в NPM, които се оказаха в списък с неговите зависимости. Пакетът може да бъде изтрит от автора само ако не се използва в зависимостите на други пакети, но след публикацията на «everything» зависимостите обхванаха всички пакети в репозитория. Интересното е, че самото изтриване на пакета «everything» също беше блокирано, тъй като 9 години по-рано в репозитория беше публикуван тестов пакет «everything-else», в който беше посочена строка «everything» в списъка със зависимости. Така че, пакетът «everything» след публикацията се озова в зависимостите на друг пакет.

Източник: opennet.ru