В хранилището на NPM беше открит зловреден пакет bb-builder. Издание NPM 6.11

Администратори на репозитория NPM блокирали пакет bb-builder, в който е открита зловредна добавка. Зловредният пакет е останал незабелязан от август миналата година. През годината злоумышленниците успели да издадат 7 нови версии, които са изтеглени около 200 пъти.

По време на инсталацията на пакета е стартиран изпълним файл за Windows, който предава конфиденциална информация на външен хост. Препоръчва се на потребителите, инсталирали пакета, спешно да сменят всички ключове за шифроване и акаунти в системата, както и да извършат проверка на системата за наличието на оставени зловредни бекдори (изтриването на пакета от системата не гарантира премахването на свързаното с него зловредно ПО).

Допълнително може да бъде отбелязано изход актуализации на пакетния мениджър NPM 6.11, от който нататък файлове, принадлежащи на потребителя root, могат да се създават само в директории, принадлежащи на root (разполагането на подобни файлове в директории на обикновени потребители е забранено). В новата версия е решен и проблемът, който води до срив, ако опцията '—user' се отнася до несъществуващ потребител (проблемът се е срещал основно от потребители на Docker). В 'npm ci' е предоставен пълен достъп до всички стойности на настройките на npm.

Източник: opennet.ru