PureScript ইনস্টলারের সাথে npm প্যাকেজের নির্ভরতাগুলিতে ক্ষতিকারক পরিবর্তন সনাক্ত করা হয়েছে৷

PureScript ইনস্টলারের সাথে npm প্যাকেজের উপর নির্ভর করে চিহ্নিত আপনি যখন একটি প্যাকেজ ইনস্টল করার চেষ্টা করেন তখন দূষিত কোড প্রদর্শিত হয় বিশুদ্ধলিপি. দূষিত কোড নির্ভরতার মাধ্যমে এমবেড করা হয় লোড-থেকে-cwd-বা-npm и হার মানচিত্র. এটি লক্ষণীয় যে এই নির্ভরতা সহ প্যাকেজগুলির রক্ষণাবেক্ষণটি এনপিএম প্যাকেজের মূল লেখক পিউরস্ক্রিপ্ট ইনস্টলার দ্বারা সঞ্চালিত হয়, যিনি সম্প্রতি পর্যন্ত এই এনপিএম প্যাকেজটি বজায় রেখেছিলেন, তবে প্রায় এক মাস আগে প্যাকেজটি অন্য রক্ষণাবেক্ষণকারীদের কাছে স্থানান্তরিত হয়েছিল।

সমস্যাটি প্যাকেজের একজন নতুন রক্ষণাবেক্ষণকারীর দ্বারা আবিষ্কৃত হয়েছিল, যাদেরকে রক্ষণাবেক্ষণের অধিকার হস্তান্তর করা হয়েছিল বিশুদ্ধ স্ক্রিপ্ট এনপিএম প্যাকেজের মূল লেখকের সাথে অনেক মতবিরোধ এবং অপ্রীতিকর আলোচনার পরে। নতুন রক্ষণাবেক্ষণকারীরা PureScript কম্পাইলারের জন্য দায়ী এবং জোর দিয়েছিলেন যে NPM প্যাকেজ এবং এর ইনস্টলার একই রক্ষণাবেক্ষণকারীদের দ্বারা রক্ষণাবেক্ষণ করা উচিত এবং বাইরের পক্ষের দ্বারা নয়। PureScript ইনস্টলারের সাথে npm প্যাকেজের লেখক দীর্ঘ সময়ের জন্য সম্মত হননি, কিন্তু তারপরে জমা দেন এবং সংগ্রহস্থলে অ্যাক্সেস স্থানান্তর করেন। তবে কিছু নির্ভরতা তার নিয়ন্ত্রণে ছিল।

গত সপ্তাহে PureScript 0.13.2 কম্পাইলার প্রকাশিত হয়েছে এবং
নতুন রক্ষণাবেক্ষণকারীরা একটি ইনস্টলার সহ npm প্যাকেজের একটি সংশ্লিষ্ট আপডেট প্রস্তুত করেছে, যার নির্ভরতাতে ক্ষতিকারক কোড চিহ্নিত করা হয়েছিল। PureScript ইনস্টলারের সাথে npm প্যাকেজের লেখক, যাকে তার রক্ষণাবেক্ষণকারীর পদ থেকে সরিয়ে দেওয়া হয়েছিল, বলেছেন যে তার অ্যাকাউন্ট অজানা আক্রমণকারীরা আপোস করেছে। যাইহোক, এর বর্তমান আকারে, দূষিত কোডের ক্রিয়াগুলি প্যাকেজের ইনস্টলেশনকে নাশকতার মধ্যে সীমাবদ্ধ ছিল, যা ছিল নতুন রক্ষণাবেক্ষণকারীদের প্রথম সংস্করণ। কোনো সুস্পষ্ট দূষিত ক্রিয়াকলাপ না করে "npm i -g purescript" কমান্ড সহ একটি প্যাকেজ ইনস্টল করার চেষ্টা করার সময় দূষিত ক্রিয়াগুলি একটি ত্রুটি বার্তা সহ একটি লুপের পরিমাণ হয়৷

দুটি হামলা শনাক্ত করা হয়েছে। পিওরস্ক্রিপ্ট এনপিএম প্যাকেজের নতুন সংস্করণের আনুষ্ঠানিক প্রকাশের কয়েক ঘন্টা পরে, কেউ লোড-ফ্রম-সিডব্লিউডি-অর-এনপিএম 3.0.2 নির্ভরতার একটি নতুন সংস্করণ তৈরি করেছে, যার পরিবর্তনের ফলে লোডফ্রমসিডওআরএনপিএম() এর পরিবর্তে কল করা হয়েছে ইনস্টলেশনের জন্য প্রয়োজনীয় তালিকার বাইনারি ফাইল স্ট্রীম ফিরে এসেছে পাস থ্রু, আউটপুট মান হিসাবে ইনপুট প্রশ্ন মিররিং.

4 দিন পরে, বিকাশকারীরা ব্যর্থতার উত্স খুঁজে বের করার পরে এবং নির্ভরতা থেকে লোড-ফ্রম-সিডব্লিউডি-অর-এনপিএম বাদ দেওয়ার জন্য একটি আপডেট প্রকাশের প্রস্তুতি নিচ্ছিল, আক্রমণকারীরা আরেকটি আপডেট প্রকাশ করেছে, লোড-ফ্রম-সিডব্লিউডি-বা-এনপিএম 3.0.4, যার মধ্যে দূষিত কোড সরানো হয়েছে। যাইহোক, প্রায় অবিলম্বে, অন্য নির্ভরতার একটি আপডেট, রেট-ম্যাপ 1.0.3, প্রকাশ করা হয়েছিল, যা একটি ফিক্স যোগ করেছে যা লোড করার জন্য কলব্যাক কলকে অবরুদ্ধ করে। সেগুলো. উভয় ক্ষেত্রেই, লোড-ফ্রম-সিডব্লিউডি-অর-এনপিএম এবং রেট-ম্যাপের নতুন সংস্করণের পরিবর্তনগুলি ছিল সুস্পষ্ট নাশকতার প্রকৃতি। অধিকন্তু, দূষিত কোডের একটি চেক ছিল যা শুধুমাত্র নতুন রক্ষণাবেক্ষণকারীদের থেকে একটি রিলিজ ইনস্টল করার সময় ত্রুটিপূর্ণ ক্রিয়াগুলিকে ট্রিগার করে এবং পুরানো সংস্করণগুলি ইনস্টল করার সময় কোনওভাবেই উপস্থিত হয় না।

বিকাশকারীরা একটি আপডেট প্রকাশ করে সমস্যার সমাধান করেছে যাতে সমস্যাযুক্ত নির্ভরতাগুলি সরানো হয়েছিল। PureScript-এর সমস্যাযুক্ত সংস্করণ ইনস্টল করার চেষ্টা করার পরে ব্যবহারকারীর সিস্টেমে মীমাংসা করা কোড রোধ করার জন্য, node_modules ডিরেক্টরি এবং package-lock.json ফাইলগুলির বিষয়বস্তু মুছে ফেলার সুপারিশ করা হয়, এবং তারপরে পিউরস্ক্রিপ্ট সংস্করণ 0.13.2 হিসাবে সেট করুন। নিম্ন সীমা.

উত্স: opennet.ru