Злонамерен пакет, bb-builder, е открит в хранилището на NPM. Издаване на NPM 6.11

Администратори на NPM хранилище блокиран пакет bb-строител, в който е открито злонамерено вмъкване. Злонамереният пакет остава неоткрит от август миналата година. През годината нападателите успяха да пуснат 7 нови версии, които бяха изтеглени около 200 пъти.

При инсталирането на пакета се стартира изпълним файл за Windows, прехвърлящ поверителна информация към външен хост. Потребителите, които са инсталирали пакета, се съветват спешно да променят всички ключове за криптиране и акаунти в системата, както и да сканират системата за наличие на задни врати, оставени от нападатели (премахването на пакет от системата не гарантира премахването на злонамерения софтуер, свързан с то).

Освен това може да се отбележи продукция актуализации на мениджъра на пакети НПМ 6.11, като се започне от това, че файловете, принадлежащи на root потребителя, могат да се създават само в директории, притежавани от root (поставянето на такива файлове в директории на обикновени потребители е забранено). Новата версия също коригира проблем, който причинява срив, ако опцията „--user“ се отнася до несъществуващ потребител (проблем, който се среща най-вече от потребителите на Docker). "npm ci" осигурява пълен достъп до всички стойности на настройките на npm.

Източник: opennet.ru