בוצע שינוי זדוני בחבילת node-ipc NPM שמוחקת קבצים במערכות ברוסיה ובלארוס

שינוי זדוני זוהה בחבילת node-ipc NPM (CVE-2022-23812), עם סבירות של 25% שהתוכן של כל הקבצים שיש להם גישת כתיבה מוחלף בתו "❤️". הקוד הזדוני מופעל רק כאשר הוא מופעל במערכות עם כתובות IP מרוסיה או בלארוס. לחבילת node-ipc יש כמיליון הורדות בשבוע והיא משמשת כתלות ב-354 חבילות, כולל vue-cli. כל הפרויקטים שיש להם node-ipc כתלות מושפעים גם הם מהבעיה.

הקוד הזדוני פורסם במאגר NPM כחלק מהגרסאות node-ipc 10.1.1 ו-10.1.2. שינוי זדוני פורסם במאגר Git של הפרויקט מטעם מחבר הפרויקט לפני 11 ימים. המדינה נקבעה בקוד על ידי התקשרות לשירות api.ipgeolocation.io. המפתח שאליו הגישה אל ה-API של ipgeolocation.io מהטמעה הזדונית בוטל כעת.

בהערות לאזהרה על הופעת קוד מפוקפק, ציין מחבר הפרויקט כי השינוי מסתכם בהוספת קובץ לשולחן העבודה המציג הודעה הקוראת לשלום. למעשה, הקוד ביצע חיפוש רקורסיבי של ספריות תוך ניסיון לדרוס את כל הקבצים שנתקלו בהם.

מהדורות של node-ipc 11.0.0 ו- 11.1.0 פורסמו מאוחר יותר למאגר NPM, שהחליף את הקוד הזדוני המובנה בתלות חיצונית, "peacenotwar", הנשלטת על ידי אותו מחבר ומוצעת להכללה על ידי מנהלי החבילות המעוניינים בכך. להצטרף למחאה. נאמר כי חבילת peacenotwar מציגה רק מסר על שלום, אך בהתחשב בפעולות שכבר נקטו על ידי המחבר, התכנים הנוספים של החבילה אינם ניתנים לחיזוי והיעדר שינויים הרסניים אינו מובטח.

במקביל, שוחרר עדכון לסניף היציב node-ipc 9.2.2, המשמש את פרויקט Vue.js. במהדורה החדשה, בנוסף ל-peacenotwar, נוספה גם חבילת הצבעים לרשימת התלות, שמחברה שילב שינויים הרסניים בקוד בינואר. רישיון המקור של המהדורה החדשה שונה מ-MIT ל-DBAD.

מכיוון שפעולות נוספות של המחבר אינן ניתנות לחיזוי, מומלץ למשתמשי node-ipc לתקן את התלות בגרסה 9.2.1. כמו כן, מומלץ לתקן גרסאות לפיתוחים אחרים של אותו מחבר שתחזק 41 חבילות. לחלק מהחבילות המתוחזקות על ידי אותו מחבר (js-queue, easy-stack, js-message, event-pubsub) יש כמיליון הורדות בשבוע.

תוספת: נרשמו ניסיונות נוספים להוסיף פעולות לחבילות פתוחות שונות שאינן קשורות לפונקציונליות הישירה של יישומים וקשורות לכתובות IP או לאזור המערכת. השינויים הכי לא מזיקים (es5-ext, rete, PHP composer, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) מסתכם בהצגת שיחות לסיום המלחמה עבור משתמשים מרוסיה ובלארוס. במקביל, מזוהים גם ביטויים מסוכנים יותר, למשל, צופן נוסף נוסף לחבילות המודולים של AWS Terraform והוכנסו הגבלות פוליטיות לרישיון. קושחת Tasmota למכשירי ESP8266 ו-ESP32 כוללת סימניה מובנית שיכולה לחסום את פעולתם של מכשירים. מאמינים שפעילות כזו עלולה לערער בצורה רצינית את האמון בתוכנת קוד פתוח.

מקור: OpenNet.ru