{"id":112714,"date":"2024-01-05T15:10:15","date_gmt":"2024-01-05T13:10:15","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii"},"modified":"2024-01-05T15:10:15","modified_gmt":"2024-01-05T13:10:15","slug":"eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/eksperiment-s-sozdaniem-npm-paketa-zavisimogo-ot-vseh-paketov-v-repozitorii","title":{"rendered":"Eksperiment NPM-paki loomiseks, mis s\u00f5ltub k\u00f5igist hoidlas olevatest pakettidest","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00dcks JavaScript-pakettide arendajatest viis l\u00e4bi eksperimendi, luues ja postitades NPM-i registrisse paketi «everything», mis katab s\u00f5ltuvustega k\u00f5ik olemasolevad paketid registris. Selle v\u00f5imaluse elluviimiseks on pakett «everything» seotud otse s\u00f5ltuvustega viie paketiga «@everything-registry\/chunk-N», mis omakorda seondub enam kui 3000 paketi «sub-chunk-N» s\u00f5ltuvustega, millest iga\u00fches on seotud 800 olemasolevat paketti registris. <\/p>\n
Paketi «everything» postitamine NPM-i t\u00f5i kaasa kaks huvitavat efekti. Esiteks, pakett «everything» muutus omamoodi t\u00f6\u00f6riistaks DoS-r\u00fcnnakute teostamiseks, kuna selle installimise katse toob kaasa miljoneid NPM-is postitatud pakette ja ammendab olemasolevat k\u00f5vaketta ruumi v\u00f5i peatab ehitusprotsesside t\u00f6\u00f6. Statistika kohaselt on NPM-paketti allalaaditud umbes 250 korda, kuid keegi ei takista selle lisamist s\u00f5ltuvustena teise paketi juurde p\u00e4rast arendaja konto h\u00e4kkimist r\u00fcnnaku l\u00e4biviimiseks. Lisaks olid m\u00f5ned teenused ja t\u00f6\u00f6riistad, mis j\u00e4lgivad ja kontrollivad uusi NPM-i registreeritud pakette, tahtmatult r\u00fcnnaku ohvriks. <\/p>\n
Teiseks, paketi «everything» avaldamine blokeeris tegelikult v\u00f5imaluse eemaldada NPM-i mis tahes pakette, mis sattusid tema s\u00f5ltuvuste nimekirja. NPM-i paketti saab autori poolt eemaldada ainult siis, kui seda ei kasutata teiste pakettide s\u00f5ltuvustes, kuid p\u00e4rast «everything» avaldamist kattusid k\u00f5ik registri paketid s\u00f5ltuvustega. T\u00e4helepanuv\u00e4\u00e4rne on, et paketi «everything» eemaldamine osutus samuti blokeerituks, kuna 9 aastat tagasi postitati registrisse testpakett «everything-else», kus oli loetletud «everything» s\u00f5ltuvustes. Seega, p\u00e4rast avaldamist sattus pakett «everything» teise paketi s\u00f5ltuvustesse. \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"