Администраторите на NPM хранилището пакета , в който беше открит злонамерен код. Злонамереният пакет оставаше незабелязан от август миналата година. През годината хакерите успяха да пуснат 7 нови версии, които бяха изтеглени около 200 пъти.
При инсталирането на пакета се е изпълнявал изпълним файл за Windows, който предавал конфиденциална информация на външен хост. На потребителите, инсталирали пакета, се препоръчва спешно да сменят всичките си ключове за криптиране и акаунти в системата, както и да направят проверка на системата за наличие на оставени от хакерите бекдории (премахването на пакета от системата не гарантира, че свързаното с него злонамерено ПО е изтрито).
Допълнително може да се отбележи актуализация на пакетния мениджър , от която фалшивите файлове, принадлежащи на потребителя root, могат да се създават само в директории, принадлежащи на root (разполагането на подобни файлове в директории на обикновени потребители е забранено). В новата версия също е фиксиран проблем, който причиняваше срив, ако опцията „—user“ указваше на несъществуващ потребител (с проблема се сблъскваха предимно потребители на Docker). В „npm ci“ се предоставя пълен достъп до всички стойности на конфигурацията на npm.
Източник: opennet.ru
