{"id":36164,"date":"2019-10-31T22:09:56","date_gmt":"2019-10-31T19:09:56","guid":{"rendered":"https:\/\/prohoster.info\/blog\/v-zavisimostyah-k-npm-paketu-s-ustanovshhikom-purescript-vyyavleny-vredonosnye-izmeneniya\/"},"modified":"2019-10-31T22:09:56","modified_gmt":"2019-10-31T19:09:56","slug":"v-zavisimostyah-k-npm-paketu-s-ustanovshhikom-purescript-vyyavleny-vredonosnye-izmeneniya","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-zavisimostyah-k-npm-paketu-s-ustanovshhikom-purescript-vyyavleny-vredonosnye-izmeneniya","title":{"rendered":"Des modifications malveillantes ont \u00e9t\u00e9 d\u00e9tect\u00e9es dans les d\u00e9pendances du paquet npm contenant l'installateur PureScript.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Dans les d\u00e9pendances du paquet npm avec l'installateur PureScript un backdoor a \u00e9t\u00e9<\/a><\/noindex> code malveillant se manifestant lors de l'installation du paquet purescript<\/a><\/noindex>. Le code malveillant est int\u00e9gr\u00e9 via les d\u00e9pendances load-from-cwd-or-npm<\/a><\/noindex> et rate-map<\/a><\/noindex>. Il est \u00e0 noter que l'entretien des paquets avec ces d\u00e9pendances est assur\u00e9 par l'auteur original du paquet npm avec l'installateur PureScript, qui s'occupait jusqu'\u00e0 r\u00e9cemment de ce paquet npm, mais il y a environ un mois, le paquet a \u00e9t\u00e9 transf\u00e9r\u00e9 \u00e0 d'autres mainteneurs. <\/p>\n

Le probl\u00e8me a \u00e9t\u00e9 d\u00e9couvert par un des nouveaux mainteneurs du paquet, \u00e0 qui les droits de maintenance ont \u00e9t\u00e9 transf\u00e9r\u00e9s apr\u00e8s de nombreuses discordes et discussions d\u00e9sagr\u00e9ables avec l'auteur original du paquet npm purescript. Les nouveaux mainteneurs sont responsables du compilateur PureScript et insistaient sur le fait que le paquet npm avec son installateur devait \u00eatre entretenu par les m\u00eames personnes et non par un tiers. L'auteur du paquet npm avec l'installateur PureScript n'\u00e9tait pas d'accord pendant longtemps, mais a finalement c\u00e9d\u00e9 et a transmis l'acc\u00e8s au d\u00e9p\u00f4t. Cependant, certaines d\u00e9pendances restent sous son contr\u00f4le.<\/p>\n

La semaine derni\u00e8re, la version 0.13.2 du compilateur PureScript a \u00e9t\u00e9 publi\u00e9e et
\nLes nouveaux mainteneurs ont pr\u00e9par\u00e9 une mise \u00e0 jour correspondante du paquet npm avec l'installateur, dans les d\u00e9pendances duquel un code malveillant a \u00e9t\u00e9 d\u00e9tect\u00e9. Le mainteneur, d\u00e9mis de ses fonctions, de l\u2019installateur du paquet npm PureScript a d\u00e9clar\u00e9 que son compte avait \u00e9t\u00e9 compromis par des attaquants inconnus. Toutefois, dans son \u00e9tat actuel, les actions du code malveillant \u00e9taient limit\u00e9es \u00e0 un sabotage de l'installation du paquet, qui est devenu la premi\u00e8re version des nouveaux mainteneurs. Les actions malveillantes consistaient \u00e0 provoquer une boucle avec un message d'erreur lors de la tentative d'installation du paquet avec la commande \u00ab npm i -g purescript \u00bb sans ex\u00e9cuter d'activit\u00e9 malveillante explicite.<\/p>\n

Deux attaques ont \u00e9t\u00e9 identifi\u00e9es. Quelques heures apr\u00e8s la sortie officielle de la nouvelle version du paquet npm purescript, quelqu'un a cr\u00e9\u00e9 une nouvelle version de la d\u00e9pendance load-from-cwd-or-npm 3.0.2, dont les modifications ont conduit au fait que l'appel loadFromCwdOrNpm() renvoyait au lieu de la liste des fichiers binaires n\u00e9cessaires pour l'installation un flux PassThrough<\/a><\/noindex>, r\u00e9pliquant les requ\u00eates d'entr\u00e9e en tant que valeurs de sortie. <\/p>\n

Quatre jours apr\u00e8s que les d\u00e9veloppeurs aient identifi\u00e9 la source des pannes et se soient pr\u00e9par\u00e9s \u00e0 publier une mise \u00e0 jour pour exclure load-from-cwd-or-npm des d\u00e9pendances, un autre package load-from-cwd-or-npm 3.0.4 contenant du code malveillant a \u00e9t\u00e9 publi\u00e9 par des attaquants. Cependant, presque imm\u00e9diatement, une mise \u00e0 jour d'une autre d\u00e9pendance rate-map 1.0.3 a \u00e9t\u00e9 publi\u00e9e, ajoutant un correctif qui bloque l'appel de callback pour le chargement. En d'autres termes, dans les deux cas, les modifications dans les nouvelles versions de load-from-cwd-or-npm et rate-map \u00e9taient clairement des actes de sabotage. De plus, le code malveillant contenait une v\u00e9rification qui activait les actions d\u00e9faillantes uniquement lors de l'installation des versions r\u00e9centes, sans se manifester lors de l'installation des anciennes versions.<\/p>\n

Les d\u00e9veloppeurs ont r\u00e9solu le probl\u00e8me en publiant une mise \u00e0 jour dans laquelle les d\u00e9pendances probl\u00e9matiques ont \u00e9t\u00e9 supprim\u00e9es. Pour \u00e9viter que du code compromis ne reste sur les syst\u00e8mes des utilisateurs apr\u00e8s une tentative d'installation de la version probl\u00e9matique, il est recommand\u00e9 de supprimer le contenu des r\u00e9pertoires node_modules et des fichiers package-lock.json, puis de fixer la version minimale de purescript \u00e0 0.13.2.<\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u0445 \u043a npm-\u043f\u0430\u043a\u0435\u0442\u0443 \u0441 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0449\u0438\u043a\u043e\u043c PureScript \u0432\u044b\u044f\u0432\u043b\u0435\u043d \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434, \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u043f\u0440\u0438 \u043f\u043e\u043f\u044b\u0442\u043a\u0435 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043a\u0438 \u043f\u0430\u043a\u0435\u0442\u0430 purescript. \u0412\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434 \u0432\u0441\u0442\u0440\u043e\u0435\u043d \u0447\u0435\u0440\u0435\u0437 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 load-from-cwd-or-npm \u0438 rate-map. \u041f\u0440\u0438\u043c\u0435\u0447\u0430\u0442\u0435\u043b\u044c\u043d\u043e, \u0447\u0442\u043e \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0435\u043d\u0438\u0435\u043c \u043f\u0430\u043a\u0435\u0442\u043e\u0432 \u0441 \u0434\u0430\u043d\u043d\u044b\u043c\u0438 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u043c\u0438 \u0437\u0430\u043d\u0438\u043c\u0430\u0435\u0442\u0441\u044f \u0438\u0437\u043d\u0430\u0447\u0430\u043b\u044c\u043d\u044b\u0439 \u0430\u0432\u0442\u043e\u0440 npm-\u043f\u0430\u043a\u0435\u0442\u0430 \u0441 \u0438\u043d\u0441\u0442\u0430\u043b\u043b\u044f\u0442\u043e\u0440\u043e\u043c PureScript, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u0434\u043e \u043d\u0435\u0434\u0430\u0432\u043d\u0438\u0445 \u043f\u043e\u0440 \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0435\u043d\u0438\u0435\u043c \u0434\u0430\u043d\u043d\u043e\u0433\u043e npm-\u043f\u0430\u043a\u0435\u0442\u0430, \u043d\u043e \u043e\u043a\u043e\u043b\u043e \u043c\u0435\u0441\u044f\u0446\u0430 \u043d\u0430\u0437\u0430\u0434 \u043f\u0430\u043a\u0435\u0442 \u043f\u0435\u0440\u0435\u0448\u0451\u043b \u043a \u0434\u0440\u0443\u0433\u0438\u043c \u0441\u043e\u043f\u0440\u043e\u0432\u043e\u0436\u0434\u0430\u044e\u0449\u0438\u043c. […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-36164","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Des modifications malveillantes ont \u00e9t\u00e9 d\u00e9tect\u00e9es dans les d\u00e9pendances du package npm contenant l'installateur de PureScript | ProHoster","description":"Un code malveillant a \u00e9t\u00e9 identifi\u00e9 dans les d\u00e9pendances du package npm contenant l'installateur de PureScript.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/v-zavisimostyah-k-npm-paketu-s-ustanovshhikom-purescript-vyyavleny-vredonosnye-izmeneniya","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u0445 \u043a npm-\u043f\u0430\u043a\u0435\u0442\u0443 \u0441 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0449\u0438\u043a\u043e\u043c PureScript \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u044b \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0435 \u0438\u0437\u043c\u0435\u043d\u0435\u043d\u0438\u044f | ProHoster","og:description":"\u0412 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u044f\u0445 \u043a npm-\u043f\u0430\u043a\u0435\u0442\u0443 \u0441 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u0449\u0438\u043a\u043e\u043c PureScript \u0432\u044b\u044f\u0432\u043b\u0435\u043d \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u044b\u0439 \u043a\u043e\u0434, \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u044e\u0449\u0438\u0439\u0441\u044f.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/v-zavisimostyah-k-npm-paketu-s-ustanovshhikom-purescript-vyyavleny-vredonosnye-izmeneniya","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:09:56+00:00","article:modified_time":"2019-10-31T19:09:56+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"36164","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-22 02:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 01:49:43","updated":"2026-01-22 02:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/36164","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=36164"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/36164\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=36164"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=36164"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=36164"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}