Експеримент с създаване на NPM пакет, зависим от всички пакети в хранилището

Един от разработчиците на JavaScript пакети проведе експеримент със създаване и публикуване в хранилището на NPM пакет "everything", който обхваща зависимостите на всички съществуващи пакети в хранилището. За реализиране на подобна възможност пакетът "everything" е свързан с пет пакета "@everything-registry/chunk-N", които от своя страна се свързват със зависимостите на над 3000 пакета "sub-chunk-N", всеки от които е свързан с 800 съществуващи пакета в хранилището.

Публикуването на "everything" в NPM доведе до два интересни ефекта. Първо, пакетът "everything" стана своеобразен инструмент за DoS атаки, тъй като опитът за инсталирането му води до изтегляне на милиони публикувани в NPM пакети и изчерпване на наличното дисково пространство или спиране на изпълнението на сборките. Според статистиката, NPM пакетът е бил изтеглен около 250 пъти, но никой не пречи да бъде добавен като зависимост към друг пакет след хакването на акаунта на разработчика с цел осъществяване на диверсия. Освен това, невольно атака подложени на риск са били някои услуги и инструменти, които осъществяват мониторинг и проверка на нови пакети, публикувани в NPM.

На второ място, публикуването на пакета "everything" фактически блокира възможността за изтриване на всякакви пакети в NPM, които попаднаха в списъка на зависимостите му. Пакет от NPM може да бъде изтрит от автора, само ако все още не се използва в зависимостите на други пакети, но след публикуването на "everything" зависимостите обхванаха всички пакети в хранилището. Забележително е, че изтриването на самия пакет "everything" също се оказа блокирано, тъй като преди 9 години в хранилището бе публикуван тестов пакет "everything-else", в който бе посочена строка "everything" в списъка на зависимостите. По този начин, пакетът "everything" след публикуването се оказа в зависимостите на друг пакет.

Източник: opennet.ru