NPM সংগ্রহস্থলে দুর্বলতা নিশ্চিতকরণ ছাড়াই রক্ষণাবেক্ষণকারী যোগ করার অনুমতি দেয়

NPM প্যাকেজ রিপোজিটরিতে একটি নিরাপত্তা সমস্যা চিহ্নিত করা হয়েছে যা প্যাকেজ মালিককে সেই ব্যবহারকারীর কাছ থেকে সম্মতি না নিয়ে এবং গৃহীত পদক্ষেপ সম্পর্কে অবহিত না করে যেকোন ব্যবহারকারীকে রক্ষণাবেক্ষণকারী হিসাবে যোগ করতে দেয়। সমস্যাটি জটিল করার জন্য, একবার রক্ষণাবেক্ষণকারী হিসাবে তৃতীয় পক্ষকে যুক্ত করা হলে, প্যাকেজের মূল লেখক নিজেকে রক্ষণাবেক্ষণকারীদের তালিকা থেকে সরিয়ে দিতে পারেন, তৃতীয় পক্ষকে প্যাকেজের জন্য দায়ী একমাত্র ব্যক্তি হিসাবে রেখে।

ক্ষতিকারক প্যাকেজের নির্মাতারা ব্যবহারকারীর আস্থা বাড়াতে এবং এই বিভ্রম তৈরি করার জন্য সুপরিচিত বিকাশকারী বা বড় কোম্পানিগুলিকে রক্ষণাবেক্ষণকারীর সংখ্যায় যোগ করার জন্য ক্ষতিকারক প্যাকেজগুলির নির্মাতাদের দ্বারা সুবিধা নিতে পারে, যদিও প্রকৃতপক্ষে তারা প্যাকেজের জন্য দায়ী। এর সাথে কিছু করার নেই এবং এমনকি এর অস্তিত্ব সম্পর্কেও জানেন না। উদাহরণস্বরূপ, একজন আক্রমণকারী একটি দূষিত প্যাকেজ পোস্ট করতে পারে, রক্ষণাবেক্ষণকারী পরিবর্তন করতে পারে এবং একটি বড় কোম্পানি থেকে একটি নতুন বিকাশ পরীক্ষা করার জন্য ব্যবহারকারীদের আমন্ত্রণ জানাতে পারে। দুর্বলতাকে কিছু ডেভেলপারদের খ্যাতি নষ্ট করতেও ব্যবহার করা যেতে পারে, তাদের সন্দেহজনক ক্রিয়া এবং দূষিত ক্রিয়াকলাপের সূচনাকারী হিসাবে উপস্থাপন করে।

GitHub 10শে ফেব্রুয়ারি সমস্যাটি সম্পর্কে অবহিত হয়েছিল এবং 26শে এপ্রিল ব্যবহারকারীদের অন্য প্রকল্পে যোগ দিতে সম্মত হওয়ার জন্য npmjs.com-এর জন্য সমস্যাটির সমাধান করেছে৷ বিপুল সংখ্যক NPM প্যাকেজের বিকাশকারীদের তাদের সম্মতি ছাড়াই যুক্ত করা বাঁধাইয়ের জন্য তাদের প্যাকেজের তালিকা পরীক্ষা করতে উত্সাহিত করা হয়।

উত্স: opennet.ru