მავნე ცვლილება განხორციელდა node-ipc NPM პაკეტში, რომელიც წაშლის ფაილებს სისტემებზე რუსეთსა და ბელორუსში.

მავნე ცვლილება გამოვლინდა node-ipc NPM პაკეტში (CVE-2022-23812), 25% ალბათობით, რომ ყველა ფაილის შიგთავსი, რომელსაც აქვს ჩაწერის წვდომა, შეიცვალოს "❤️" სიმბოლოთი. მავნე კოდი გააქტიურებულია მხოლოდ რუსეთის ან ბელორუსიის IP მისამართის მქონე სისტემებზე. Node-ipc პაკეტს აქვს დაახლოებით მილიონი ჩამოტვირთვა კვირაში და გამოიყენება 354 პაკეტზე დამოკიდებულების სახით, მათ შორის vue-cli. ყველა პროექტი, რომელსაც აქვს node-ipc, როგორც დამოკიდებულებები, ასევე გავლენას ახდენს პრობლემაზე.

მავნე კოდი გამოქვეყნდა NPM საცავში, როგორც node-ipc 10.1.1 და 10.1.2 გამოშვების ნაწილი. მავნე ცვლილება გამოქვეყნდა პროექტის Git საცავში პროექტის ავტორის სახელით 11 დღის წინ. ქვეყანა განისაზღვრა კოდში api.ipgeolocation.io სერვისზე დარეკვით. გასაღები, რომელზეც წვდომა იყო ipgeolocation.io API-ზე მავნე ჩაშენებიდან, ახლა გაუქმებულია.

საეჭვო კოდის გაჩენის შესახებ გაფრთხილების კომენტარებში, პროექტის ავტორმა განაცხადა, რომ ცვლილება დესკტოპზე ფაილის დამატებას ნიშნავს, რომელიც აჩვენებს შეტყობინებას მშვიდობისკენ. ფაქტობრივად, კოდმა ჩაატარა დირექტორიების რეკურსიული ძიება ყველა შეხვედრილი ფაილის გადაწერის მცდელობით.

Node-ipc 11.0.0 და 11.1.0 გამოშვებები მოგვიანებით გამოქვეყნდა NPM საცავში, რომელმაც ჩაანაცვლა ჩაშენებული მავნე კოდი გარე დამოკიდებულებით, „peacenotwar“, რომელსაც აკონტროლებს იგივე ავტორი და შესთავაზა ჩასართავად პაკეტის შემსრულებლებს, რომლებსაც სურთ. პროტესტს შეუერთდეს. ნათქვამია, რომ Peacenotwar პაკეტი აჩვენებს მხოლოდ გზავნილს მშვიდობის შესახებ, მაგრამ ავტორის მიერ უკვე განხორციელებული ქმედებების გათვალისწინებით, პაკეტის შემდგომი შინაარსი არაპროგნოზირებადია და დესტრუქციული ცვლილებების არარსებობა გარანტირებული არ არის.

ამავდროულად, გამოვიდა სტაბილური node-ipc 9.2.2 ფილიალის განახლება, რომელსაც იყენებს Vue.js პროექტი. ახალ რელიზში, გარდა peacenotwar-ისა, დამოკიდებულების სიას დაემატა ფერების პაკეტიც, რომლის ავტორმა იანვარში კოდში ჩაატარა დესტრუქციული ცვლილებები. ახალი გამოშვების წყაროს ლიცენზია შეიცვალა MIT-დან DBAD-ზე.

ვინაიდან ავტორის შემდგომი ქმედებები არაპროგნოზირებადია, node-ipc მომხმარებლებს ურჩევენ დააფიქსირონ დამოკიდებულებები 9.2.1 ვერსიაზე. ასევე რეკომენდირებულია ვერსიების დაფიქსირება სხვა განვითარებისთვის იმავე ავტორის მიერ, რომელიც ინახავდა 41 პაკეტს. ერთი და იმავე ავტორის მიერ შენახულ ზოგიერთ პაკეტს (js-queue, easy-stack, js-message, event-pubsub) აქვს დაახლოებით მილიონი ჩამოტვირთვა კვირაში.

დამატება: დაფიქსირდა სხვა მცდელობები, დაემატებინათ მოქმედებები სხვადასხვა ღია პაკეტებში, რომლებიც არ არის დაკავშირებული აპლიკაციების უშუალო ფუნქციონირებასთან და დაკავშირებულია IP მისამართებთან ან სისტემის ლოკალებთან. ამ ცვლილებებიდან ყველაზე უვნებელი (es5-ext, rete, PHP კომპოზიტორი, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) მთავრდება რუსეთიდან და ბელორუსის მომხმარებლებისთვის ომის დასრულების შესახებ ზარების ჩვენებამდე. ამავდროულად, იდენტიფიცირებულია უფრო საშიში გამოვლინებებიც, მაგალითად, AWS Terraform მოდულების პაკეტებს დაემატა შიფრატორი და ლიცენზიაში შემოვიდა პოლიტიკური შეზღუდვები. Tasmota firmware ESP8266 და ESP32 მოწყობილობებისთვის აქვს ჩაშენებული სანიშნე, რომელსაც შეუძლია დაბლოკოს მოწყობილობების მუშაობა. ითვლება, რომ ასეთმა საქმიანობამ შეიძლება სერიოზულად შეარყიოს ნდობა ღია კოდის პროგრამული უზრუნველყოფის მიმართ.

წყარო: opennet.ru