חבילה זדונית, bb-builder, זוהתה במאגר NPM. שחרור NPM 6.11

מנהלי מאגר NPM חָסוּם חבילה bb-בונה, שבו זוהה הוספה זדונית. החבילה הזדונית נותרה בלתי מזוהה מאז אוגוסט אשתקד. במהלך השנה הצליחו התוקפים לשחרר 7 גרסאות חדשות, אשר הורדו כ-200 פעמים.

בעת התקנת החבילה, הושק קובץ הפעלה עבור Windows, המעביר מידע סודי למארח חיצוני. למשתמשים שהתקינו את החבילה מומלץ לשנות בדחיפות את כל מפתחות ההצפנה והחשבונות במערכת, וכן לסרוק את המערכת לאיתור דלתות אחוריות שהשאירו תוקפים (הסרת חבילה מהמערכת אינה מבטיחה את הסרת התוכנה הזדונית הקשורה זה).

בנוסף, ניתן לציין תפוקה עדכוני מנהל החבילות NPM 6.11, החל ממנו ניתן ליצור קבצים השייכים למשתמש השורש רק בספריות שבבעלות השורש (הצבת קבצים כאלה בספריות של משתמשים רגילים אסורה). הגרסה החדשה גם מתקנת בעיה שגורמת לקריסה אם האפשרות "--user" מתייחסת למשתמש לא קיים (בעיה בה נתקלים בעיקר משתמשי Docker). "npm ci" מספק גישה מלאה לכל ערכי ההגדרות של npm.

מקור: OpenNet.ru