მავნე ცვლილებები აღმოჩენილია npm პაკეტის დამოკიდებულებებში PureScript ინსტალერით

დამოკიდებულია npm პაკეტზე PureScript ინსტალერით იდენტიფიცირებული მავნე კოდი, რომელიც გამოჩნდება პაკეტის დაყენებისას წმინდა სკრიპტი. მავნე კოდი ჩაშენებულია დამოკიდებულებების საშუალებით load-from-cwd-or-npm и განაკვეთი-რუქა. აღსანიშნავია, რომ ამ დამოკიდებულების მქონე პაკეტების შენარჩუნებას ახორციელებს npm პაკეტის ორიგინალური ავტორი PureScript ინსტალერით, რომელიც ბოლო დრომდე ინარჩუნებდა ამ npm პაკეტს, მაგრამ დაახლოებით ერთი თვის წინ პაკეტი გადაეცა სხვა შემსრულებლებს.

პრობლემა აღმოაჩინა პაკეტის ერთ-ერთმა ახალმა შემსრულებელმა, რომელსაც მოვლის უფლებები გადაეცა მრავალი უთანხმოების და უსიამოვნო დისკუსიის შემდეგ სუფთა npm პაკეტის თავდაპირველ ავტორთან. ახალი შემსრულებლები პასუხისმგებელნი არიან PureScript-ის შემდგენელზე და დაჟინებით მოითხოვდნენ, რომ NPM პაკეტი და მისი ინსტალერი უნდა იყოს შენახული იმავე შემსრულებლების მიერ და არა გარე მხარის მიერ. npm პაკეტის ავტორი PureScript ინსტალერთან დიდი ხნის განმავლობაში არ ეთანხმებოდა, მაგრამ შემდეგ დათმო და გადასცა წვდომა საცავზე. თუმცა, ზოგიერთი დამოკიდებულება მის კონტროლქვეშ დარჩა.

გასულ კვირას გამოვიდა PureScript 0.13.2 შემდგენელი და
ახალმა შემსრულებლებმა მოამზადეს npm პაკეტის შესაბამისი განახლება ინსტალერით, რომლის დამოკიდებულებებშიც გამოვლინდა მავნე კოდი. npm პაკეტის ავტორმა PureScript-ის ინსტალერთან, რომელიც მოხსნეს მისი თანამდებობიდან, როგორც დამხმარე, თქვა, რომ მისი ანგარიში დაზარალდა უცნობი თავდამსხმელების მიერ. თუმცა, მისი ამჟამინდელი ფორმით, მავნე კოდის ქმედებები შემოიფარგლებოდა პაკეტის ინსტალაციის საბოტაჟით, რომელიც იყო პირველი ვერსია ახალი შემსრულებლებისგან. მავნე ქმედებები შეადგენდა ციკლს შეცდომის შესახებ, როდესაც ცდილობდით პაკეტის დაინსტალირებას ბრძანებით „npm i -g purescript“ რაიმე აშკარა მავნე მოქმედების განხორციელების გარეშე.

გამოვლინდა ორი თავდასხმა. Purescript npm პაკეტის ახალი ვერსიის ოფიციალური გამოშვებიდან რამდენიმე საათის შემდეგ, ვიღაცამ შექმნა load-from-cwd-or-npm 3.0.2 დამოკიდებულების ახალი ვერსია, რომლის ცვლილებებმა სანაცვლოდ გამოიძახა loadFromCwdOrNpm()-ზე. ინსტალაციისთვის საჭირო ორობითი ფაილების სიის დაბრუნებული ნაკადი Გადის, შეყვანის მოთხოვნების ასახვა, როგორც გამომავალი მნიშვნელობები.

4 დღის შემდეგ, მას შემდეგ რაც დეველოპერებმა გაარკვიეს წარუმატებლობის წყარო და ემზადებოდნენ განახლებისთვის, რათა გამოერიცხათ load-from-cwd-or-npm დამოკიდებულებებიდან, თავდამსხმელებმა გამოუშვეს კიდევ ერთი განახლება, load-from-cwd-or-npm. 3.0.4, რომელშიც ამოღებულია მავნე კოდი. თუმცა, თითქმის მაშინვე გამოვიდა განახლება სხვა დამოკიდებულების, rate-map 1.0.3-ისთვის, რომელმაც დაამატა შესწორება, რომელმაც დაბლოკა გამოძახების ზარი ჩატვირთვისთვის. იმათ. ორივე შემთხვევაში ცვლილებები load-from-cwd-or-npm და rate-map-ის ახალ ვერსიებში აშკარა დივერსიის ხასიათს ატარებდა. უფრო მეტიც, მავნე კოდს ჰქონდა შემოწმება, რომელიც იწვევდა გაუმართავ მოქმედებებს მხოლოდ ახალი შემსრულებლებისგან გამოშვების დაყენებისას და არანაირად არ ჩანდა ძველი ვერსიების დაყენებისას.

დეველოპერებმა პრობლემა გადაჭრეს განახლების გამოქვეყნებით, რომელშიც ამოიღეს პრობლემური დამოკიდებულებები. PureScript-ის პრობლემური ვერსიის დაინსტალირების მცდელობის შემდეგ კომპრომეტირებული კოდის თავიდან ასაცილებლად მომხმარებლის სისტემებში, რეკომენდებულია წაშალოთ node_modules დირექტორიების და package-lock.json ფაილების შიგთავსი და შემდეგ დააყენოთ სუფთა ვერსიის 0.13.2, როგორც ქვედა ზღვარი.

წყარო: opennet.ru