Byl vydán nový balíček správce NPM 12.0, který je součástí Node.js a používá se k distribuci modulů v jazyce JavaScript. Nová verze se vyznačuje výchozím zakázáním spouštění skriptů během instalace balíčků. Toto změna má ztížit provádění útoků prostřednictvím kompromitace závislostí a zpomalit šíření červů aktivovaných instalačními skripty.
Pro zakázání automatického spouštění skriptů uvedených v package.json prostřednictvím parametrů preinstall, install nebo postinstall je výchozí nastavení allowScripts změněno na 'off'. Provádění podobných skriptů, stejně jako spuštění kompilace C/C++ kódu nástrojem node-gyp při přítomnosti souboru binding.gyp v balíčku, se nyní provádí pouze na základě výslovného pokynu uživatele. Kromě toho jsou výchozí nastavení parametrů '—allow-git' a '—allow-remote' nyní nastavena na 'none', což zakazuje automatické stahování závislostí z Git repozitářů a přímé odkazy na weby s tar archivy.
Pro organizaci spuštění instalačních skriptů je třeba použít příkaz 'npm approve-scripts', ke kterému se jako argumenty předávají názvy důvěryhodných balíčků, nebo volbu '—all' pro udělení povolení všem balíčkům. Pro pochybných balíčcích se doporučuje spustit příkaz 'npm approve-scripts —allow-scripts-pending', který vypíše seznam skriptů čekajících na spuštění. Po ověření těchto skriptů je možné je povolit příkazem 'npm approve-scripts' a přidat na bílý seznam v package.json.
Kromě toho byl oznámen zákaz používání GAT tokenů přístupu (Granular Access Tokens) v repozitáři NPM, které jsou nastavena na provádění akcí bez dvoufaktorové autentifikace (2FA). Od srpna nebudou tyto tokeny bez dalšího ručního potvrzení umožňovat provádět takové operace, jako je vytváření nebo mazání tokenů, změna profilu, hesla nebo e-mailu, nastavení dvoufaktorové autentifikace, generování obnovovacích kódů, změna přístupových práv a správa doprovodných účtů.
V lednu 2027 hodlají zakázat přímé publikování balíčků s použitím tokenů obcházejících 2FA. Balíčky však bude možné publikovat v staging sekci, kde zůstanou až do ručního potvrzení vydání správcem. Po ručním potvrzení budou publikované balíčky dostupné pro instalaci uživateli.
Pro automatické publikování se navrhuje použít mechanismus „Trusted Publishers“, zakládající se na standardu OpenID Connect (OIDC) a autentifikačních tokenech s omezenou platností, které si vyměňují externí služby a katalog balíčků pro potvrzení operace publikace balíčku místo tradičních hesel nebo stálých tokenů pro přístup k API.
Zdroj: opennet.ru
