NPM-repositoriets administratorer pakke , hvor der blev opdaget en ondsindet indsættelse. Den ondsindede pakke var uopdaget siden august sidste år. I løbet af et år har angribere formået at udgive 7 nye versioner, som blev downloadet omkring 200 gange.
Under installationen af pakken blev en eksekverbar fil til Windows kørt, som transmitterede fortrolige oplysninger til en ekstern host. Brugere, der har installeret pakken, anbefales straks at ændre alle krypteringsnøgler og konti i systemet samt at gennemgå systemet for tilbageblevne bagdøre efter angriberne (fjernelse af pakken fra systemet garanterer ikke fjernelse af det tilknyttede ondsindede software).
Yderligere kan det nævnes opdatering af pakket manager , hvor filer tilhørende root-brugeren kun kan oprettes i biblioteker, der tilhører root (placering af sådanne filer i almindelige brugeres biblioteker er forbudt). Den nye version løser også et problem, der førte til nedbrud, hvis indstillingen «—user» henviste til en ikke-eksisterende bruger (problemstillingen blev hovedsageligt oplevet af Docker-brugere). I «npm ci» er der givet fuld adgang til alle npm-indstillingsværdier.
Kilde: opennet.ru
