Megjelent a Node.js csomagkezelő NPM 12.0 verziója, amely a JavaScript modulok terjesztésére szolgál. Az új verziót az a jellemzője, hogy alapértelmezés szerint letiltja a csomagok telepítése közben a szkriptek futtatását. E változtatás várhatóan nehezíti a függőségek kompromittálásával végzett támadásokat és lassítja a telepítési szkriptekből aktiválódó férgek terjedését.
A package.json fájlban megadott szkriptek automatikus futtatásának leállítására a preinstall, install vagy postinstall paraméterekkel a allowScripts beállítást alapértelmezés szerint "off"-ra állították. Az ilyen szkriptek futtatása, valamint a C/C++ kód fordítása a node-gyp eszközzel, ha a csomagban található egy binding.gyp fájl, mostantól csak a felhasználó kifejezett utasítása esetén történik. Ezen kívül a "—allow-git" és a "—allow-remote" paraméterek alapértelmezés szerint "none" értékre álltak, amely letiltja a függőségek automatikus letöltését Git-repo-ból és közvetlen linkeken található tar-archívumokról.
A telepítési szkriptek futtatásához az "npm approve-scripts" parancsot kell használni, amelynek argumentumaként a megbízható csomagok neveit kell megadni, vagy a "—all" opciót a minden csomag engedélyezéséhez. Kérdéses csomagok esetén ajánlott a "npm approve-scripts —allow-scripts-pending" parancs futtatása, amely megjeleníti a futtatásra váró szkriptek listáját. Az ilyen szkriptek ellenőrzése után azok engedélyezhetők az "npm approve-scripts" paranccsal és felkerülhetnek a package.json fájl fehérlistájára.
Ezen kívül bejelentették, hogy az NPM tárolókban a GAT hozzáférési tokenek (Granular Access Tokens), amelyeket a kétfaktoros azonosítás (2FA) nélküli műveletek végrehajtására állítanak be, használata tilos. Augusztustól kezdve az ilyen tokenek, további kézi megerősítés nélkül, nem teszik lehetővé olyan műveletek végrehajtását, mint a tokenek létrehozása vagy törlése, a profil, a jelszó vagy az email módosítása, a kétfaktoros azonosítás beállítása, a helyreállító kódok generálása, a hozzáférési jogok módosítása és a kísérő kezelés.
2027 januárjában tervezik betiltani a tokenek közvetlen publikálását, amelyek kikerülik a 2FA-t. A csomagok azonban publikálhatók lesznek a staging szakaszban, ahol a kézi kiadásig maradnak. A kézi megerősítés után a közzétett csomagok elérhetővé válnak a felhasználók számára.
Automatikus publikáláshoz a "Trusted Publishers" mechanizmus ajánlott, amely az OpenID Connect (OIDC) standard használatán alapul, és időkorlátos hitelesítési tokenek cseréjével dolgozik a külső szolgáltatások és a csomagkönyvtár között a csomagpublikációs művelet megerősítése érdekében, a hagyományos jelszavak vagy tartós API hozzáférési tokenek használata helyett.
Forrás: opennet.ru
