Експериментирайте със създаването на NPM пакет, който зависи от всички пакети в хранилището

Един от разработчиците на JavaScript пакети експериментира със създаването и поставянето в хранилището на NPM на пакета „всичко“, който обхваща всички съществуващи пакети в хранилището със зависимости. За да приложи тази функция, пакетът „всичко“ има директни зависимости с пет пакета „@everything-registry/chunk-N“, които от своя страна имат зависимости от повече от 3000 пакета „sub-chunk-N“, всеки от които се свързва с 800 съществуващи пакета в хранилището.

Поставянето на „всичко“ в NPM имаше два интересни ефекта. Първо, пакетът „всичко“ се превърна в своеобразен инструмент за извършване на DoS атаки, тъй като опитът за инсталирането му води до изтегляне на милиони пакети, хоствани в NPM и изчерпване на наличното дисково пространство или спиране на изпълнението на процесите на изграждане. Според статистиката на NPM пакетът е изтеглен около 250 пъти, но никой не си прави труда да го добави като зависимост към друг пакет, след като акаунтът на разработчика е бил хакнат, за да извърши саботаж. В допълнение, някои услуги и инструменти, които наблюдават и проверяват нови пакети, хоствани от NPM, неволно са били изложени на атака.

Второ, публикуването на пакета „всичко“ ефективно блокира възможността за премахване на всички пакети в NPM, които се озоваха в неговия списък със зависимости. Пакет от NPM може да бъде премахнат от автора само ако вече не е използван в зависимостите на други пакети, но след публикуването на „всичко“ се оказа, че зависимостите покриват всички пакети в хранилището. Трябва да се отбележи, че премахването на самия пакет „всичко“ също беше блокирано, тъй като преди 9 години в хранилището беше публикуван тестов пакет „всичко-друго“, който включваше низа „всичко“ в списъка със зависимости. Така след публикуването пакетът „всичко“ се оказа зависим от друг пакет.

Източник: opennet.ru