PureScript installijaga npm-paketi sõltuvustes leiti pahatahtlikke muutusi

PureScripti installeri npm-paketi sõltuvustes avastatud kahjustav kood, mis ilmneb paketi installimise katsete ajal purescript. Kahjustav kood on sisse ehitatud sõltuvuste kaudu load-from-cwd-or-npm ja rate-map. Oluline on, et selliste sõltuvustega pakettide hooldamise eest vastutas algne PureScripti installeri npm-paketi autor, kes hooldas seda npm-paketti kuni hiljuti, kuid umbes kuu tagasi anti paketile üle teiste hooldajate.

Probleemi avastas üks paketi uusi hooldajaid, kellele õigused hooldamiseks anti pärast pikka vaidlust ja ebameeldivaid arutelusid algse PureScripti npm-paketi autori ja uute hooldajate vahel. Uued hooldajad vastutavad PureScripti komileerija eest ning nõudsid, et npm-paketti koos selle installijaga peaks hooldama sama meeskond, mitte keegi teine. Algne PureScripti npm-paketi autor ei olnud pikka aega nõus, kuid lõpuks leppis ta ning andis juurde pääsu repo. Samas jäid mõned sõltuvused tema kontrolli alla.

Eelmisel nädalal ilmus PureScripti komileerija versioon 0.13.2 ja
uued hooldajad valmistasid ette vastava uuenduse npm-paketile, mille installijaga seotud sõltuvustes tuvastati kahjustav kood. Hooldustöölt kõrvaldatud algne PureScripti npm-paketi autor teatas, et tema konto on tundmatute ründajate poolt kompromiteeritud. Siiski, praeguses seisus piirdus kahjustava koodi tegevus ainult paketi installimise saboteerimisega, mis sai uute hooldajate poolt esimeseks versiooniks. Kahjustavad tegevused piirdusid tsüklite loomisega, mis viskas veateate, kui prooviti installida paketti käsu „npm i -g purescript“ abil ilma selgesõnalist kahjulikku tegevust teostamata.

Tuvastati kaks rünnakut. Mõni tund pärast uue purescript npm-paketi ametlikku väljalaskmist lõpetati kellegi poolt sõltuvuse load-from-cwd-or-npm uus versioon 3.0.2, mille muudatused viisid selleni, et kutsumine loadFromCwdOrNpm() tagastas vajalikud binaarfailid loendi asemel PassThrough, mis peegeldas sissese tulevaid pühendusi väljundväärtustena.

Neli päeva pärast seda, kui arendajad olid probleemide allika tuvastanud ja olid valmis väljastama uuenduse, et eemaldada load-from-cwd-or-npm sõltuvused, avaldasid kurjategijad uue uuenduse load-from-cwd-or-npm 3.0.4, milles kahjulik kood eemaldati. Sellegipoolest ilmus peaaegu kohe uuendus teisele sõltuvusele rate-map 1.0.3, milles lisati parandusi, mis blokeerivad callback-kutse üleslaadimiseks. See tähendab, et mõlema sõltuvuse uutes versioonides load-from-cwd-or-npm ja rate-map muudatused olid selgelt saboteerimise iseloomuga. Veelgi enam, kahjulikus koodis oli kontroll, mis aktiveeris vigaseid tegevusi ainult uute toetajate väljaande installeerimise korral ega avaldunud vanade versioonide installimisel.

Arendajad lahendasid probleemi, väljastades uuenduse, milles probleemsed sõltuvused eemaldati. Et vältida kompromiteeritud koodi jääkide sattumist kasutajate süsteemidesse pärast probleemse PureScript versiooni installimist, on soovitatav kustutada node_modules kataloogide sisu ja package-lock.json failid ning seejärel seadistada minimi versiooniks purescript 0.13.2.

Allikas: opennet.ru