В зависимостите на npm пакета с инсталатора на PureScript са открити злонамерени промени

В зависимостите на npm-пакета с инсталационен пакет PureScript идентифициран вреден код, проявяващ се при опит за инсталиране на пакета purescript. Вредният код е внедрен чрез зависимостите load-from-cwd-or-npm и rate-map. Забележително е, че поддръжката на пакетите с тези зависимости се осъществява от оригиналния автор на npm-пакета с инсталационния пакет PureScript, който неотдавна се е занимавал с поддръжката на този npm-пакет, но преди около месец пакетът е преминал при други поддръжници.

Проблемът бе открит от един от новите мейнтейъри на пакета, който получи правата за поддръжка след многобройни разногласия и неприятни обсъждания с оригиналния автор на npm-пакета purescript. Новите мейнтейъри отговарят за компилатора PureScript и настояваха, че NPM-пакетът с неговия инсталатор трябва да се поддържа от същите поддръжници, а не от външно лице. Авторът на npm-пакета с инсталационния пакет PureScript дълго време не се съгласяваше, но след това отстъпи и предаде достъпа до репозитория. При това някои зависимости останаха под негов контрол.

Миналата седмица беше пуснат релиз на компилятора PureScript 0.13.2 и
новите поддръжници подготвиха съответно обновление на npm-пакета с инсталатора, в зависимостите на който беше открит вреден код. Отстраненият от поста поддръжник заяви, че неговата сметка е била компрометирана от неизвестни атакуващи. Въпреки това, в текущия си вид действията на вредния код бяха ограничени само до саботаж на инсталацията на пакета, който стана първата версия от новите поддръжници. Вредните действия се състояха в зацикляне с показване на грешка при опит за инсталиране на пакета с командата „npm i -g purescript“ без извършване на явна вредна активност.

Бяха открити две атаки. Часове след официалното излизане на новата версия на npm-пакета purescript, от някого е била формирана нова версия на зависимостта load-from-cwd-or-npm 3.0.2, промените в която доведоха до това, че извикването на loadFromCwdOrNpm() вместо списък с необходимите за инсталиране бинарни файлове връщаше поток PassThrough, който отразява входните заявки като изходни стойности.

Четири дни след като разработчиците проучиха източника на проблемите и се подготвяха да пуснат актуализация, която да изключи load-from-cwd-or-npm от зависимостите, злоумышлениците пуснаха нова актуализация load-from-cwd-or-npm 3.0.4, в която злонамереният код беше премахнат. Въпреки това, почти веднага след това беше пусната актуализация на друга зависимост rate-map 1.0.3, в която беше добавен корекция, блокираща callback-викането за зареждане. Тоест, в двата случая промените в новите версии load-from-cwd-or-npm и rate-map бяха явна диверсия. Освен това, в злонамерения код имаше проверка, която активираше проблемните действия само при инсталиране на версия от новите поддържащи и никак не се проявяваше при инсталиране на стари версии.

Разработчиците решиха проблема, като пуснаха актуализация, в която проблемните зависимости бяха премахнати. За да се избегне корумпираният код да остане в системите на потребителите след опит за инсталиране на проблемната версия, се препоръчва да се изтрие съдържанието на директориите node_modules и файловете package-lock.json, след което да се зададе версията purescript 0.13.2 като минимална.

Източник: opennet.ru