NPM પેકેજ બનાવવાનો પ્રયોગ કરો કે જે રિપોઝીટરીમાંના તમામ પેકેજો પર આધારિત છે

JavaScript પેકેજોના વિકાસકર્તાઓમાંના એકે NPM રિપોઝીટરીમાં "એવરીથિંગ" પેકેજ બનાવવા અને મૂકવાનો પ્રયોગ કર્યો, જે રિપોઝીટરીમાંના તમામ હાલના પેકેજોને અવલંબન સાથે આવરી લે છે. આ સુવિધાને અમલમાં મૂકવા માટે, “એવરીથિંગ” પેકેજ પાંચ “@everything-registry/chunk-N” પેકેજો સાથે સીધી અવલંબન ધરાવે છે, જે બદલામાં 3000 થી વધુ “sub-chunk-N” પેકેજો પર નિર્ભરતા ધરાવે છે, જેમાંથી પ્રત્યેક સાથે જોડાય છે. રિપોઝીટરીમાં 800 હાલના પેકેજો.

NPM માં "બધું" મૂકવાની બે રસપ્રદ અસરો હતી. સૌપ્રથમ, "બધું" પેકેજ એ DoS હુમલાઓ કરવા માટે એક પ્રકારનું સાધન બની ગયું છે, કારણ કે તેને ઇન્સ્ટોલ કરવાનો પ્રયાસ NPM માં હોસ્ટ કરેલા લાખો પેકેજોને ડાઉનલોડ કરવા અને ઉપલબ્ધ ડિસ્ક જગ્યાને ખાલી કરવા અથવા બિલ્ડ પ્રક્રિયાઓના અમલને રોકવા તરફ દોરી જાય છે. NPM આંકડા અનુસાર, પેકેજ લગભગ 250 વખત ડાઉનલોડ થયું હતું, પરંતુ ડેવલપરના એકાઉન્ટને તોડફોડ કરવા માટે હેક કરવામાં આવ્યા પછી કોઈ તેને અન્ય પેકેજમાં નિર્ભરતા તરીકે ઉમેરવાની તસ્દી લેતું નથી. વધુમાં, કેટલીક સેવાઓ અને સાધનો કે જેઓ NPM દ્વારા હોસ્ટ કરાયેલા નવા પેકેજોની દેખરેખ અને તપાસ કરે છે તે અજાણતા હુમલાના સંપર્કમાં આવ્યા હતા.

બીજું, "બધું" પેકેજ પ્રકાશિત કરવાથી NPM માં કોઈપણ પેકેજને દૂર કરવાની ક્ષમતાને અસરકારક રીતે અવરોધિત કરવામાં આવી છે જે તેની નિર્ભરતાઓની સૂચિમાં સમાપ્ત થાય છે. NPM ના પેકેજને લેખક દ્વારા ફક્ત ત્યારે જ દૂર કરી શકાય છે જો તે પહેલાથી અન્ય પેકેજોની નિર્ભરતામાં ઉપયોગમાં લેવાય નહીં, પરંતુ "બધું" ના પ્રકાશન પછી નિર્ભરતાઓ રીપોઝીટરીમાંના તમામ પેકેજોને આવરી લેવા માટે બહાર આવ્યું. તે નોંધનીય છે કે "બધું" પેકેજને દૂર કરવાનું પણ અવરોધિત કરવામાં આવ્યું હતું, કારણ કે 9 વર્ષ પહેલાં રીપોઝીટરીમાં એક પરીક્ષણ પેકેજ "બધું-બીજું" પોસ્ટ કરવામાં આવ્યું હતું, જેમાં નિર્ભરતાઓની સૂચિમાં "બધું" શબ્દમાળા શામેલ છે. આમ, પ્રકાશન પછી, “બધું” પેકેજ બીજા પેકેજ પર નિર્ભર રહી ગયું.

સોર્સ: opennet.ru