В зависимостите на npm пакета с инсталатор PureScript са открити злонамерени изменения

В зависимостите на npm пакета с инсталатора на PureScript открит вреден код, който се проявява при опит за инсталиране на пакета purescript. Вреден код е вграден чрез зависимости load-from-cwd-or-npm и rate-map. Забележително е, че поддръжката на пакетите с тези зависимости се управлява от оригиналния автор на npm пакета с инсталатора на PureScript, който до неотдавна се е занимавал с поддръжката на този npm пакет, но преди около месец пакетът беше предаден на други поддържащи.

Проблемът е открит от един от новите мейнтейнъри на пакета, на когото правата за поддръжка бяха предадени след много разногласия и неприятни дискусии с оригиналния автор на npm пакета purescript. Новите мейнтейнъри отговарят за компилятора PureScript и настояваха, че npm пакетът с неговия инсталатор трябва да се обслужва от същите поддържащи, а не от външно лице. Авторът на npm пакета с инсталатора на PureScript дълго не се съгласяваше, но след това отстъпи и предаде достъпа до репозитория. В същото време някои зависимости останаха под негов контрол.

Миналата седмица бе издаден релиз на компилятора PureScript 0.13.2 и
новите поддържащи подготвиха съответно обновление на npm пакета с инсталатора, в зависимостите на който бе открит вреден код. Отконен от поста поддържащ, авторът на npm пакета с инсталатора на PureScript заяви, че неговият акаунт е бил компрометиран от неизвестни нападатели. Въпреки това, в текущия вид действията на вредния код се ограничаваха само до саботаж на инсталацията на пакета, който стана първата версия от новите поддържащи. Вредните действия се състоят в зацикляне с извеждане на грешка при опит за инсталиране на пакета с командата "npm i -g purescript" без извършване на явна вредна дейност.

Бяха открити две атаки. Няколко часа след официалния изход на новата версия на npm пакета purescript, някой е формулирал нова версия на зависимостта load-from-cwd-or-npm 3.0.2, измененията в която доведоха до това, че извикването на loadFromCwdOrNpm() вместо списък на необходимите за инсталация бинарни файлове връщаше поток PassThrough, отразяващ входящите заявки като изходни стойности.

Четири дни след като разработчиците се справиха с източника на проблемите и се подготвяха да пуснат обновление, за да изключат load-from-cwd-or-npm от зависимостите, злоумышлениците пуснаха друго обновление load-from-cwd-or-npm 3.0.4, в което зловредният код беше премахнат. Все пак, почти веднага беше пуснато обновление на друга зависимост rate-map 1.0.3, в която беше добавен поправка, блокираща callback-вика за зареждане. Тоест, в двата случая промените в новите версии на load-from-cwd-or-npm и rate-map бяха явна диверсия. Освен това, в зловредния код имаше проверка, която активираше проблемните действия само при инсталиране на изданието от новите поддръжници и по никакъв начин не се проявяваше при инсталиране на стари версии.

Разработчиците решиха проблема с публикуването на обновление, в което проблематичните зависимости бяха премахнати. За да се изключи оседяването на компрометиран код на системите на потребителите след опит за инсталиране на проблемната версия, се препоръчва да се изтрие съдържанието на директориите node_modules и файловете package-lock.json, след което да се зададе версията purescript 0.13.2 като минимален лимит.

Източник: opennet.ru