नोड-आईपीसी एनपीएम पैकेज में एक दुर्भावनापूर्ण परिवर्तन किया गया है जो रूस और बेलारूस में सिस्टम पर फ़ाइलों को हटा देता है

नोड-आईपीसी एनपीएम पैकेज (सीवीई-2022-23812) में एक दुर्भावनापूर्ण परिवर्तन का पता चला था, 25% संभावना के साथ कि लेखन पहुंच वाली सभी फ़ाइलों की सामग्री को "❤️" वर्ण से बदल दिया गया है। दुर्भावनापूर्ण कोड केवल तभी सक्रिय होता है जब रूस या बेलारूस के आईपी पते वाले सिस्टम पर लॉन्च किया जाता है। नोड-आईपीसी पैकेज के प्रति सप्ताह लगभग दस लाख डाउनलोड होते हैं और इसका उपयोग वीयू-सीएलआई सहित 354 पैकेजों पर निर्भरता के रूप में किया जाता है। वे सभी परियोजनाएँ जिनमें निर्भरता के रूप में नोड-आईपीसी है, भी समस्या से प्रभावित हैं।

दुर्भावनापूर्ण कोड को नोड-आईपीसी 10.1.1 और 10.1.2 रिलीज के हिस्से के रूप में एनपीएम रिपॉजिटरी में पोस्ट किया गया था। 11 दिन पहले प्रोजेक्ट के लेखक की ओर से प्रोजेक्ट के Git रिपॉजिटरी में एक दुर्भावनापूर्ण परिवर्तन पोस्ट किया गया था। api.ipgeolocation.io सेवा पर कॉल करके कोड में देश का निर्धारण किया गया था। दुर्भावनापूर्ण एम्बेड से ipgeolocation.io API तक पहुंचने वाली कुंजी अब निरस्त कर दी गई है।

संदिग्ध कोड की उपस्थिति के बारे में चेतावनी पर टिप्पणियों में, परियोजना के लेखक ने कहा कि परिवर्तन डेस्कटॉप पर एक फ़ाइल जोड़ने के बराबर है जो शांति के लिए एक संदेश प्रदर्शित करता है। वास्तव में, कोड ने सामने आई सभी फ़ाइलों को अधिलेखित करने के प्रयास के साथ निर्देशिकाओं की पुनरावर्ती खोज की।

नोड-आईपीसी 11.0.0 और 11.1.0 की रिलीज़ को बाद में एनपीएम रिपॉजिटरी में पोस्ट किया गया, जिसने अंतर्निहित दुर्भावनापूर्ण कोड को एक बाहरी निर्भरता, "पीसनोटवार" से बदल दिया, जिसे उसी लेखक द्वारा नियंत्रित किया गया था और इच्छुक पैकेज अनुरक्षकों द्वारा शामिल करने की पेशकश की गई थी। विरोध में शामिल होने के लिए. ऐसा कहा जाता है कि पीसनोटवार पैकेज केवल शांति के बारे में एक संदेश प्रदर्शित करता है, लेकिन लेखक द्वारा पहले से ही किए गए कार्यों को ध्यान में रखते हुए, पैकेज की आगे की सामग्री अप्रत्याशित है और विनाशकारी परिवर्तनों की अनुपस्थिति की गारंटी नहीं है।

उसी समय, स्थिर नोड-आईपीसी 9.2.2 शाखा के लिए एक अद्यतन जारी किया गया था, जिसका उपयोग Vue.js परियोजना द्वारा किया जाता है। नई रिलीज़ में, पीसनोटवार के अलावा, कलर्स पैकेज को भी निर्भरता की सूची में जोड़ा गया था, जिसके लेखक ने जनवरी में कोड में विनाशकारी परिवर्तनों को एकीकृत किया था। नई रिलीज़ के लिए स्रोत लाइसेंस को MIT से DBAD में बदल दिया गया है।

चूंकि लेखक की आगे की कार्रवाइयां अप्रत्याशित हैं, इसलिए नोड-आईपीसी उपयोगकर्ताओं को संस्करण 9.2.1 पर निर्भरता को ठीक करने की सलाह दी जाती है। उसी लेखक द्वारा अन्य विकास के लिए संस्करण तय करने की भी सिफारिश की गई है जिसने 41 पैकेजों का रखरखाव किया था। एक ही लेखक द्वारा बनाए गए कुछ पैकेज (जेएस-क्यू, ईजी-स्टैक, जेएस-मैसेज, इवेंट-पबसब) के प्रति सप्ताह लगभग दस लाख डाउनलोड होते हैं।

अतिरिक्त: विभिन्न खुले पैकेजों में क्रियाएं जोड़ने के अन्य प्रयास दर्ज किए गए हैं जो अनुप्रयोगों की प्रत्यक्ष कार्यक्षमता से संबंधित नहीं हैं और आईपी पते या सिस्टम लोकेल से जुड़े हुए हैं। इन परिवर्तनों में से सबसे हानिरहित (es5-ext, rete, PHP कंपोज़र, PHPUnit, Redis डेस्कटॉप मैनेजर, विस्मयकारी प्रोमेथियस अलर्ट, verdaccio, filestash) रूस और बेलारूस के उपयोगकर्ताओं के लिए युद्ध को समाप्त करने के लिए कॉल प्रदर्शित करने के लिए कम हो गए हैं। साथ ही, अधिक खतरनाक अभिव्यक्तियों की भी पहचान की गई है, उदाहरण के लिए, एडब्ल्यूएस टेराफॉर्म मॉड्यूल पैकेज में एक एन्क्रिप्टर जोड़ा गया था और लाइसेंस में राजनीतिक प्रतिबंध पेश किए गए थे। ESP8266 और ESP32 उपकरणों के लिए Tasmota फर्मवेयर में एक अंतर्निहित बुकमार्क है जो उपकरणों के संचालन को अवरुद्ध कर सकता है। ऐसा माना जाता है कि ऐसी गतिविधि ओपन सोर्स सॉफ़्टवेयर में विश्वास को गंभीर रूप से कम कर सकती है।

स्रोत: opennet.ru