एक एनपीएम पैकेज बनाने का प्रयोग करें जो रिपॉजिटरी के सभी पैकेजों पर निर्भर हो

जावास्क्रिप्ट पैकेज के डेवलपर्स में से एक ने एनपीएम रिपॉजिटरी में एक "सब कुछ" पैकेज बनाने और रखने का प्रयोग किया, जो निर्भरता के साथ रिपॉजिटरी में सभी मौजूदा पैकेजों को कवर करता है। इस सुविधा को लागू करने के लिए, "एवरीथिंग" पैकेज में पांच "@एवरीथिंग-रजिस्ट्री/चंक-एन" पैकेजों के साथ प्रत्यक्ष निर्भरता होती है, जिसके बदले में 3000 से अधिक "सब-चंक-एन" पैकेजों पर निर्भरता होती है, जिनमें से प्रत्येक पैकेज से जुड़ा होता है। भंडार में 800 मौजूदा पैकेज।

एनपीएम में "सब कुछ" रखने से दो दिलचस्प प्रभाव पड़े। सबसे पहले, "सबकुछ" पैकेज DoS हमलों को करने के लिए एक प्रकार का उपकरण बन गया है, क्योंकि इसे स्थापित करने का प्रयास एनपीएम में होस्ट किए गए लाखों पैकेजों को डाउनलोड करने और उपलब्ध डिस्क स्थान को समाप्त करने या बिल्ड प्रक्रियाओं के निष्पादन को रोकने की ओर जाता है। एनपीएम आंकड़ों के अनुसार, पैकेज को लगभग 250 बार डाउनलोड किया गया था, लेकिन तोड़फोड़ करने के लिए डेवलपर का खाता हैक होने के बाद किसी ने भी इसे किसी अन्य पैकेज पर निर्भरता के रूप में जोड़ने की जहमत नहीं उठाई। इसके अलावा, कुछ सेवाएँ और उपकरण जो एनपीएम द्वारा होस्ट किए गए नए पैकेजों की निगरानी और जाँच करते हैं, वे अनजाने में हमले के संपर्क में आ गए थे।

दूसरे, "सबकुछ" पैकेज को प्रकाशित करने से एनपीएम में किसी भी पैकेज को हटाने की क्षमता प्रभावी रूप से अवरुद्ध हो गई जो इसकी निर्भरता की सूची में समाप्त हो गई। एनपीएम से एक पैकेज को लेखक द्वारा केवल तभी हटाया जा सकता है जब यह पहले से ही अन्य पैकेजों की निर्भरता में उपयोग नहीं किया गया हो, लेकिन "एवरीथिंग" के प्रकाशन के बाद, रिपॉजिटरी के सभी पैकेज निर्भरता द्वारा कवर किए गए थे। यह उल्लेखनीय है कि "सबकुछ" पैकेज को हटाने को भी अवरुद्ध कर दिया गया था, क्योंकि 9 साल पहले रिपॉजिटरी में एक परीक्षण पैकेज "सब कुछ-और" पोस्ट किया गया था, जिसमें निर्भरता की सूची में स्ट्रिंग "सब कुछ" शामिल था। इस प्रकार, प्रकाशन के बाद, "सब कुछ" पैकेज दूसरे पैकेज पर निर्भर हो गया।

स्रोत: opennet.ru