ការផ្លាស់ប្តូរព្យាបាទត្រូវបានធ្វើឡើងចំពោះកញ្ចប់ node-ipc NPM ដែលលុបឯកសារនៅលើប្រព័ន្ធនៅក្នុងប្រទេសរុស្ស៊ី និងបេឡារុស្ស

ការផ្លាស់ប្តូរព្យាបាទត្រូវបានរកឃើញនៅក្នុងកញ្ចប់ node-ipc NPM (CVE-2022-23812) ជាមួយនឹងប្រូបាប៊ីលីតេ 25% ដែលមាតិកានៃឯកសារទាំងអស់ដែលមានសិទ្ធិសរសេរត្រូវបានជំនួសដោយតួអក្សរ "❤️" ។ លេខកូដព្យាបាទត្រូវបានដំណើរការតែនៅពេលដែលបានបើកដំណើរការនៅលើប្រព័ន្ធដែលមានអាសយដ្ឋាន IP ពីប្រទេសរុស្ស៊ី ឬបេឡារុស្ស។ កញ្ចប់ node-ipc មានការទាញយកប្រហែលមួយលានដងក្នុងមួយសប្តាហ៍ ហើយត្រូវបានប្រើជាការពឹងផ្អែកលើកញ្ចប់ចំនួន 354 រួមទាំង vue-cli ផងដែរ។ គម្រោងទាំងអស់ដែលមាន node-ipc ជា dependencies ក៏រងផលប៉ះពាល់ដោយបញ្ហាដែរ។

លេខកូដព្យាបាទត្រូវបានបង្ហោះទៅឃ្លាំង NPM ដែលជាផ្នែកមួយនៃការចេញផ្សាយ node-ipc 10.1.1 និង 10.1.2 ។ ការផ្លាស់ប្តូរព្យាបាទត្រូវបានបង្ហោះទៅកាន់ឃ្លាំង Git របស់គម្រោងក្នុងនាមអ្នកនិពន្ធនៃគម្រោងកាលពី 11 ថ្ងៃមុន។ ប្រទេសនេះត្រូវបានកំណត់នៅក្នុងលេខកូដដោយហៅទៅសេវា api.ipgeolocation.io ។ សោដែលត្រូវបានចូលប្រើ ipgeolocation.io API ពីការបង្កប់ព្យាបាទឥឡូវនេះត្រូវបានដកហូតវិញហើយ។

នៅក្នុងសេចក្តីអធិប្បាយចំពោះការព្រមានអំពីរូបរាងនៃកូដគួរឱ្យសង្ស័យ អ្នកនិពន្ធនៃគម្រោងបាននិយាយថា ការផ្លាស់ប្តូរគឺស្មើនឹងការបន្ថែមឯកសារទៅផ្ទៃតុដែលបង្ហាញសារអំពាវនាវឱ្យមានសន្តិភាព។ ជាការពិត កូដបានធ្វើការស្វែងរកឡើងវិញនូវថតដោយមានការប៉ុនប៉ងដើម្បីសរសេរជាន់លើឯកសារទាំងអស់ដែលបានជួបប្រទះ។

ការចេញផ្សាយ node-ipc 11.0.0 និង 11.1.0 ក្រោយមកត្រូវបានបង្ហោះទៅឃ្លាំង NPM ដែលជំនួសកូដព្យាបាទដែលបានភ្ជាប់មកជាមួយដោយភាពអាស្រ័យខាងក្រៅ "peacenotwar" ដែលគ្រប់គ្រងដោយអ្នកនិពន្ធដូចគ្នា និងផ្តល់ជូនសម្រាប់ការរួមបញ្ចូលដោយអ្នកថែទាំកញ្ចប់ដែលមានបំណង ដើម្បីចូលរួមការតវ៉ា។ វាត្រូវបានចែងថាកញ្ចប់ peacenotwar បង្ហាញសារអំពីសន្តិភាពប៉ុណ្ណោះ ប៉ុន្តែដោយគិតពីសកម្មភាពដែលបានធ្វើឡើងដោយអ្នកនិពន្ធរួចហើយ ខ្លឹមសារបន្ថែមនៃកញ្ចប់គឺមិនអាចទាយទុកជាមុនបាន ហើយអវត្តមាននៃការផ្លាស់ប្តូរបំផ្លិចបំផ្លាញមិនត្រូវបានធានាទេ។

ក្នុងពេលជាមួយគ្នានេះ ការអាប់ដេតទៅកាន់សាខា node-ipc 9.2.2 ដែលមានស្ថេរភាព ដែលត្រូវបានប្រើដោយគម្រោង Vue.js ត្រូវបានចេញផ្សាយ។ នៅក្នុងការចេញផ្សាយថ្មីនេះ បន្ថែមពីលើ peacenotwar កញ្ចប់ពណ៌ក៏ត្រូវបានបន្ថែមទៅក្នុងបញ្ជីនៃភាពអាស្រ័យ ដែលអ្នកនិពន្ធដែលបានរួមបញ្ចូលការផ្លាស់ប្តូរបំផ្លិចបំផ្លាញទៅក្នុងកូដក្នុងខែមករា។ អាជ្ញាប័ណ្ណប្រភពសម្រាប់ការចេញផ្សាយថ្មីត្រូវបានផ្លាស់ប្តូរពី MIT ទៅ DBAD ។

ដោយសារសកម្មភាពបន្ថែមទៀតរបស់អ្នកនិពន្ធគឺមិនអាចទាយទុកជាមុនបាន អ្នកប្រើប្រាស់ node-ipc ត្រូវបានណែនាំអោយជួសជុលភាពអាស្រ័យនៅលើកំណែ 9.2.1។ វាត្រូវបានផ្ដល់អនុសាសន៍ផងដែរដើម្បីជួសជុលកំណែសម្រាប់ការអភិវឌ្ឍផ្សេងទៀតដោយអ្នកនិពន្ធដូចគ្នាដែលបានរក្សា 41 កញ្ចប់។ កញ្ចប់មួយចំនួនដែលរក្សាដោយអ្នកនិពន្ធដូចគ្នា (js-queue, easy-stack, js-message, event-pubsub) មានការទាញយកប្រហែលមួយលានក្នុងមួយសប្តាហ៍។

បន្ថែម៖ ការប៉ុនប៉ងផ្សេងទៀតត្រូវបានកត់ត្រាដើម្បីបន្ថែមសកម្មភាពទៅកញ្ចប់បើកផ្សេងៗដែលមិនទាក់ទងទៅនឹងមុខងារផ្ទាល់របស់កម្មវិធី ហើយត្រូវបានចងភ្ជាប់ទៅនឹងអាសយដ្ឋាន IP ឬប្រព័ន្ធមូលដ្ឋាន។ ការផ្លាស់ប្តូរទាំងនេះដែលមិនបង្កគ្រោះថ្នាក់បំផុត (es5-ext, rete, PHP composer, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) ពុះកញ្ជ្រោលរហូតដល់ការបង្ហាញការហៅទូរស័ព្ទដើម្បីបញ្ចប់សង្រ្គាមសម្រាប់អ្នកប្រើប្រាស់មកពីប្រទេសរុស្ស៊ី និងបេឡារុស្ស។ ក្នុងពេលជាមួយគ្នានោះ ការបង្ហាញពីគ្រោះថ្នាក់ជាងនេះក៏ត្រូវបានកំណត់អត្តសញ្ញាណផងដែរ ឧទាហរណ៍ ឧបករណ៍បំលែងកូដត្រូវបានបញ្ចូលទៅក្នុងកញ្ចប់ម៉ូឌុល AWS Terraform ហើយការរឹតបន្តឹងផ្នែកនយោបាយត្រូវបានបញ្ចូលទៅក្នុងអាជ្ញាប័ណ្ណ។ កម្មវិធីបង្កប់ Tasmota សម្រាប់ឧបករណ៍ ESP8266 និង ESP32 មានចំណាំដែលភ្ជាប់មកជាមួយដែលអាចរារាំងប្រតិបត្តិការរបស់ឧបករណ៍។ គេជឿថាសកម្មភាពបែបនេះអាចបំផ្លាញទំនុកចិត្តយ៉ាងធ្ងន់ធ្ងរលើកម្មវិធីប្រភពបើកចំហ។

ប្រភព: opennet.ru