এনপিএম প্যাকেজ নোড-আইপিসি-তে ক্ষতিকারক পরিবর্তন করা হয়েছে যা রাশিয়া এবং বেলারুশের সিস্টেমে ফাইল মুছে দেয়

নোড-আইপিসি এনপিএম প্যাকেজে (CVE-2022-23812) একটি দূষিত পরিবর্তন চিহ্নিত করা হয়েছে যাতে "❤️" অক্ষর দিয়ে লেখার অ্যাক্সেস আছে এমন সমস্ত ফাইলের বিষয়বস্তু প্রতিস্থাপনের 25% সম্ভাবনা রয়েছে৷ রাশিয়া বা বেলারুশ থেকে IP ঠিকানা সহ সিস্টেমে চালু হলেই দূষিত কোড সক্রিয় হয়৷ নোড-আইপিসি প্যাকেজটির প্রতি সপ্তাহে প্রায় এক মিলিয়ন ডাউনলোড হয় এবং এটি vue-cli সহ 354টি প্যাকেজের জন্য নির্ভরতা হিসাবে ব্যবহৃত হয়। নির্ভরতা হিসাবে নোড-আইপিসি আছে এমন সমস্ত প্রকল্পগুলিও প্রভাবিত হয়।

নোড-আইপিসি 10.1.1 এবং 10.1.2 রিলিজের অংশ হিসাবে ক্ষতিকারক কোডটি NPM সংগ্রহস্থলে পোস্ট করা হয়েছিল। 11 দিন আগে প্রকল্প লেখকের পক্ষ থেকে প্রকল্পের গিট রিপোজিটরিতে একটি দূষিত পরিবর্তন পোস্ট করা হয়েছিল। api.ipgeolocation.io পরিষেবাতে কল করে কোডে দেশ নির্ধারণ করা হয়েছিল। একটি ক্ষতিকারক সন্নিবেশ থেকে ipgeolocation.io API দ্বারা অ্যাক্সেস করা কীটি এখন প্রত্যাহার করা হয়েছে।

সন্দেহজনক কোডের উপস্থিতি সম্পর্কে সতর্কতার মন্তব্যে, প্রকল্পের লেখক বলেছেন যে পরিবর্তনটি ডেস্কটপে একটি ফাইল যুক্ত করার জন্য ফুটে উঠেছে যা শান্তির আহ্বান জানিয়ে একটি বার্তা প্রদর্শন করে। প্রকৃতপক্ষে, কোডটি সম্মুখীন হওয়া সমস্ত ফাইলগুলিকে ওভাররাইট করার প্রচেষ্টার সাথে ডিরেক্টরিগুলির একটি পুনরাবৃত্ত গণনা করে।

পরবর্তীতে, নোড-আইপিসি 11.0.0 এবং 11.1.0 রিলিজগুলি এনপিএম সংগ্রহস্থলে স্থাপন করা হয়েছিল, যা বিল্ট-ইন দূষিত কোডের পরিবর্তে "পিসনোটওয়ার" বাহ্যিক নির্ভরতা যুক্ত করেছিল, একই লেখক দ্বারা নিয়ন্ত্রিত এবং প্যাকেজ দ্বারা অন্তর্ভুক্তির প্রস্তাব দেওয়া হয়েছিল। রক্ষণাবেক্ষণকারীরা যারা প্রতিবাদে যোগ দিতে চায়। এটি বলা হয়েছে যে শান্তিনোটওয়ার প্যাকেজ শুধুমাত্র বিশ্ব সম্পর্কে একটি বার্তা প্রদর্শন করে, তবে লেখকের দ্বারা ইতিমধ্যে গৃহীত পদক্ষেপগুলি বিবেচনায় নিয়ে প্যাকেজের আরও বিষয়বস্তু অপ্রত্যাশিত এবং ধ্বংসাত্মক পরিবর্তনের অনুপস্থিতির নিশ্চয়তা দেওয়া হয় না।

সমান্তরালভাবে, নোড-আইপিসি 9.2.2 স্থিতিশীল শাখায় একটি আপডেট প্রকাশিত হয়েছিল, যা Vue.js প্রকল্প দ্বারা ব্যবহৃত হয়। নতুন রিলিজে, শান্তিনোটওয়ার ছাড়াও, রঙের প্যাকেজটি নির্ভরতার তালিকায় যুক্ত করা হয়েছিল, যার লেখক জানুয়ারিতে কোডে ধ্বংসাত্মক পরিবর্তনগুলিকে সংহত করেছিলেন। নতুন রিলিজে সোর্স লাইসেন্স MIT থেকে DBAD-তে পরিবর্তিত হয়েছে।

যেহেতু লেখকের পরবর্তী পদক্ষেপগুলি অপ্রত্যাশিত, তাই node-ipc ব্যবহারকারীদের 9.2.1 সংস্করণে নির্ভরতা ঠিক করার পরামর্শ দেওয়া হচ্ছে। 41টি প্যাকেজ রক্ষণাবেক্ষণকারী একই লেখকের দ্বারা অন্যান্য উন্নয়নের জন্য লকিং সংস্করণও সুপারিশ করা হয়। একই লেখক দ্বারা রক্ষণাবেক্ষণ করা কিছু প্যাকেজ (js-queue, easy-stack, js-message, event-pubsub) প্রতি সপ্তাহে প্রায় এক মিলিয়ন ডাউনলোড হয়।

সংযোজন: বিভিন্ন ওপেন প্যাকেজগুলিতে অ্যাকশন যোগ করার অন্যান্য প্রচেষ্টা যা অ্যাপ্লিকেশনগুলির সরাসরি কার্যকারিতার সাথে সম্পর্কিত নয় এবং আইপি ঠিকানা বা সিস্টেম লোকেলে আবদ্ধ রয়েছে তাও রেকর্ড করা হয়। এই পরিবর্তনগুলির মধ্যে সবচেয়ে নিরীহ (es5-ext, rete, PHP কম্পোজার, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) রাশিয়া এবং বেলারুশের ব্যবহারকারীদের জন্য যুদ্ধের সমাপ্তি ঘটাতে পারে। একই সময়ে, আরও বিপজ্জনক প্রকাশগুলিও প্রকাশিত হয়েছে, উদাহরণস্বরূপ, AWS Terraform মডিউল প্যাকেজে একটি এনক্রিপ্টর যুক্ত করা হয়েছে এবং লাইসেন্সে রাজনৈতিক বিধিনিষেধ চালু করা হয়েছে। ESP8266 এবং ESP32 ডিভাইসের জন্য Tasmota ফার্মওয়্যারে একটি অন্তর্নির্মিত ট্যাব রয়েছে যা ডিভাইসের ক্রিয়াকলাপকে ব্লক করতে পারে। এটা অনুমান করা হয় যে এই ধরনের কার্যকলাপ গুরুতরভাবে ওপেন সোর্স সফ্টওয়্যারের উপর আস্থা নষ্ট করতে পারে।

উত্স: opennet.ru