{"id":112714,"date":"2024-01-05T15:10:15","date_gmt":"2024-01-05T13:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii"},"modified":"2024-01-05T15:10:15","modified_gmt":"2024-01-05T13:10:15","slug":"eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/news\/eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii","title":{"rendered":"Eksperiment, mille k\u00e4igus loodi NPM-pakett, mis s\u00f5ltub k\u00f5igist paketidest hoidlas","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00dcks JavaScript-pakettide arendajatest viis l\u00e4bi katse, luues ja avaldades NPM-repositooriumis paketi «everything», mis katab s\u00f5ltuvustega k\u00f5ik olemasolevad paketid repositooriumis. Selle v\u00f5imaluse rakendamiseks on pakett «everything» otseste s\u00f5ltuvustega seotud viie pakettiga «@everything-registry\/chunk-N», mis omakorda seovad s\u00f5ltuvustega \u00fcle 3000 paketti «sub-chunk-N», milles igas on seotud 800 olemasolevat paketti repositooriumis. <\/p>\n
Paketi «everything» avaldamine NPM-is p\u00f5hjustas kaks huvitavat efekti. Esiteks, pakett «everything» muutus oma liigiliseks t\u00f6\u00f6riistaks DoS-r\u00fcnnakute sooritamiseks, kuna selle installimise katse toob kaasa miljonite NPM-is asuvate pakettide allalaadimise, mis v\u00f5ib viia olemasoleva k\u00f5vakettaruumi ammendumiseni v\u00f5i koostamisprotsesside peatamiseni. Statistika kohaselt on NPM pakett allalaaditud umbes 250 korda, kuid keegi ei takista selle lisamist teiste pakettide s\u00f5ltuvusteks p\u00e4rast arendaja konto h\u00e4kkimist diversiooni sooritamiseks. Lisaks, tahtmatult sattusid r\u00fcnnaku alla m\u00f5ned teenused ja t\u00f6\u00f6riistad, mis teostavad uute NPM-i pakettide j\u00e4lgimist ja kontrollimist. <\/p>\n
Teiseks, paketi «everything» avaldamine t\u00f5kestas tegelikult v\u00f5imaluse eemaldada mingeid pakette NPM-ist, mis olid saanud selle s\u00f5ltuvuse nimekirja. NPM soovi korral saab pakett eemaldada autori poolt vaid juhul, kui seda ei kasutata teiste pakettide s\u00f5ltuvustes, kuid p\u00e4rast «everything» avaldamist olid k\u00f5ik repositooriumis olevad paketid s\u00f5ltuvustest kaetud. On t\u00e4helepanuv\u00e4\u00e4rne, et paketi «everything» enda eemaldamine on samuti blokeeritud, kuna 9 aastat tagasi avaldati repositooriumis katsepakk «everything-else», kus loetelus oli kirjas «everything» s\u00f5ltuvustena. Seega, p\u00e4rast avaldamist oli pakett «everything» teiste pakettide s\u00f5ltuvustes. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"