ניסוי ביצירת חבילת NPM שתלויה בכל החבילות במאגר

אחד המפתחים של חבילות JavaScript התנסה ביצירה והצבה במאגר NPM את חבילת "הכל", המכסה את כל החבילות הקיימות במאגר עם תלות. כדי ליישם תכונה זו, לחבילת "הכל" יש תלות ישירה עם חמש חבילות "@everything-registry/chunk-N", אשר בתורן יש תלות על יותר מ-3000 חבילות "sub-chunk-N", שכל אחת מהן מתחייבת ל- 800 חבילות קיימות במאגר.

להצבת "הכל" ב-NPM היו שתי השפעות מעניינות. ראשית, חבילת "הכל" הפכה למעין כלי לביצוע התקפות DoS, שכן ניסיון להתקין אותה מוביל להורדת מיליוני חבילות המתארחות ב-NPM ולמיצוי שטח הדיסק הפנוי או עצירת ביצוע תהליכי בנייה. לפי הסטטיסטיקה של NPM, החבילה הורדה כ-250 פעמים, אך אף אחד לא טורח להוסיף אותה כתלות בחבילה אחרת לאחר שחשבון המפתח נפרץ כדי לבצע חבלה. בנוסף, חלק מהשירותים והכלים המנטרים ובודקים חבילות חדשות שמתארחות על ידי NPM נחשפו ללא משים להתקפה.

שנית, פרסום החבילה "הכל" חסם למעשה את היכולת להסיר כל חבילה ב-NPM שהגיעה לרשימת התלות שלה. חבילה מ-NPM ניתנת להסרה על ידי המחבר רק אם היא אינה בשימוש כבר בתלות של חבילות אחרות, אבל לאחר פרסום "הכל" התברר כי התלות מכסה את כל החבילות במאגר. ראוי לציין שגם הסרת חבילת "הכל" עצמה נחסמה, שכן לפני 9 שנים פורסמה במאגר חבילת בדיקה "הכל-אחר", שכללה את המחרוזת "הכל" ברשימת התלויות. כך, לאחר הפרסום, בסופו של דבר חבילת "הכל" הייתה תלויה בחבילה אחרת.

מקור: OpenNet.ru