ការផ្លាស់ប្តូរព្យាបាទត្រូវបានធ្វើឡើងចំពោះកញ្ចប់ node-ipc NPM ដែលលុបឯកសារនៅលើប្រព័ន្ធនៅក្នុងប្រទេសរុស្ស៊ី និងបេឡារុស្ស

ការផ្លាស់ប្តូរព្យាបាទត្រូវបានរកឃើញនៅក្នុងកញ្ចប់ node-ipc NPM (CVE-2022-23812) ជាមួយនឹងប្រូបាប៊ីលីតេ 25% ដែលមាតិកានៃឯកសារទាំងអស់ដែលមានសិទ្ធិសរសេរត្រូវបានជំនួសដោយតួអក្សរ "❤️" ។ លេខកូដព្យាបាទត្រូវបានដំណើរការតែនៅពេលដែលបានបើកដំណើរការនៅលើប្រព័ន្ធដែលមានអាសយដ្ឋាន IP ពីប្រទេសរុស្ស៊ី ឬបេឡារុស្ស។ កញ្ចប់ node-ipc មានការទាញយកប្រហែលមួយលានដងក្នុងមួយសប្តាហ៍ ហើយត្រូវបានប្រើជាការពឹងផ្អែកលើកញ្ចប់ចំនួន 354 រួមទាំង vue-cli ផងដែរ។ គម្រោងទាំងអស់ដែលមាន node-ipc ជា dependencies ក៏រងផលប៉ះពាល់ដោយបញ្ហាដែរ។

លេខកូដព្យាបាទត្រូវបានបង្ហោះទៅឃ្លាំង NPM ដែលជាផ្នែកមួយនៃការចេញផ្សាយ node-ipc 10.1.1 និង 10.1.2 ។ ការផ្លាស់ប្តូរព្យាបាទត្រូវបានបង្ហោះទៅកាន់ឃ្លាំង Git របស់គម្រោងក្នុងនាមអ្នកនិពន្ធនៃគម្រោងកាលពី 11 ថ្ងៃមុន។ ប្រទេសនេះត្រូវបានកំណត់នៅក្នុងលេខកូដដោយហៅទៅសេវា api.ipgeolocation.io ។ សោដែលត្រូវបានចូលប្រើ ipgeolocation.io API ពីការបង្កប់ព្យាបាទឥឡូវនេះត្រូវបានដកហូតវិញហើយ។

នៅក្នុងសេចក្តីអធិប្បាយចំពោះការព្រមានអំពីរូបរាងនៃកូដគួរឱ្យសង្ស័យ អ្នកនិពន្ធនៃគម្រោងបាននិយាយថា ការផ្លាស់ប្តូរគឺស្មើនឹងការបន្ថែមឯកសារទៅផ្ទៃតុដែលបង្ហាញសារអំពាវនាវឱ្យមានសន្តិភាព។ ជាការពិត កូដបានធ្វើការស្វែងរកឡើងវិញនូវថតដោយមានការប៉ុនប៉ងដើម្បីសរសេរជាន់លើឯកសារទាំងអស់ដែលបានជួបប្រទះ។

ការចេញផ្សាយ node-ipc 11.0.0 និង 11.1.0 ក្រោយមកត្រូវបានបង្ហោះទៅឃ្លាំង NPM ដែលជំនួសកូដព្យាបាទដែលបានភ្ជាប់មកជាមួយដោយភាពអាស្រ័យខាងក្រៅ "peacenotwar" ដែលគ្រប់គ្រងដោយអ្នកនិពន្ធដូចគ្នា និងផ្តល់ជូនសម្រាប់ការរួមបញ្ចូលដោយអ្នកថែទាំកញ្ចប់ដែលមានបំណង ដើម្បីចូលរួមការតវ៉ា។ វាត្រូវបានចែងថាកញ្ចប់ peacenotwar បង្ហាញសារអំពីសន្តិភាពប៉ុណ្ណោះ ប៉ុន្តែដោយគិតពីសកម្មភាពដែលបានធ្វើឡើងដោយអ្នកនិពន្ធរួចហើយ ខ្លឹមសារបន្ថែមនៃកញ្ចប់គឺមិនអាចទាយទុកជាមុនបាន ហើយអវត្តមាននៃការផ្លាស់ប្តូរបំផ្លិចបំផ្លាញមិនត្រូវបានធានាទេ។

ក្នុងពេលជាមួយគ្នានេះ ការអាប់ដេតទៅកាន់សាខា node-ipc 9.2.2 ដែលមានស្ថេរភាព ដែលត្រូវបានប្រើដោយគម្រោង Vue.js ត្រូវបានចេញផ្សាយ។ នៅក្នុងការចេញផ្សាយថ្មីនេះ បន្ថែមពីលើ peacenotwar កញ្ចប់ពណ៌ក៏ត្រូវបានបន្ថែមទៅក្នុងបញ្ជីនៃភាពអាស្រ័យ ដែលអ្នកនិពន្ធដែលបានរួមបញ្ចូលការផ្លាស់ប្តូរបំផ្លិចបំផ្លាញទៅក្នុងកូដក្នុងខែមករា។ អាជ្ញាប័ណ្ណប្រភពសម្រាប់ការចេញផ្សាយថ្មីត្រូវបានផ្លាស់ប្តូរពី MIT ទៅ DBAD ។

ដោយសារសកម្មភាពបន្ថែមទៀតរបស់អ្នកនិពន្ធគឺមិនអាចទាយទុកជាមុនបាន អ្នកប្រើប្រាស់ node-ipc ត្រូវបានណែនាំអោយជួសជុលភាពអាស្រ័យនៅលើកំណែ 9.2.1។ វាត្រូវបានផ្ដល់អនុសាសន៍ផងដែរដើម្បីជួសជុលកំណែសម្រាប់ការអភិវឌ្ឍផ្សេងទៀតដោយអ្នកនិពន្ធដូចគ្នាដែលបានរក្សា 41 កញ្ចប់។ កញ្ចប់មួយចំនួនដែលរក្សាដោយអ្នកនិពន្ធដូចគ្នា (js-queue, easy-stack, js-message, event-pubsub) មានការទាញយកប្រហែលមួយលានក្នុងមួយសប្តាហ៍។

ការបន្ថែម៖ ការប៉ុនប៉ងផ្សេងទៀតដើម្បីបន្ថែមសកម្មភាពទៅកញ្ចប់បើកចំហផ្សេងៗដែលមិនទាក់ទងនឹងមុខងារផ្ទាល់របស់កម្មវិធី និងត្រូវបានភ្ជាប់ទៅនឹង អាសយដ្ឋាន IP របស់ខ្ញុំ ឬ​ទីតាំង​ប្រព័ន្ធ។ ការផ្លាស់ប្តូរ​ដែល​គ្មាន​គ្រោះថ្នាក់​បំផុត​ទាំងនេះ (es5-ext, rete, PHP composer, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) សំដៅ​ទៅលើ​ការបង្ហាញ​ការអំពាវនាវ​ឱ្យបញ្ចប់សង្គ្រាម​សម្រាប់អ្នកប្រើប្រាស់​នៅក្នុងប្រទេសរុស្ស៊ី និងបេឡារុស្ស។ ទោះជាយ៉ាងណាក៏ដោយ ការបង្ហាញ​ដ៏គ្រោះថ្នាក់​ជាងនេះ​ក៏ត្រូវបាន​កំណត់អត្តសញ្ញាណ​ផងដែរ ដូចជា ransomware ដែលបានបន្ថែមទៅក្នុងម៉ូឌុល AWS Terraform និងការរឹតបន្តឹង​នយោបាយដែលបានបន្ថែមទៅក្នុងអាជ្ញាប័ណ្ណ។ កម្មវិធីបង្កប់ Tasmota សម្រាប់ឧបករណ៍ ESP8266 និង ESP32 មាន​ទ្វារក្រោយ​ដែលមានសមត្ថភាព​រារាំងប្រតិបត្តិការឧបករណ៍។ សកម្មភាពបែបនេះត្រូវបានគេជឿថាធ្វើឱ្យប៉ះពាល់ដល់ទំនុកចិត្តយ៉ាងធ្ងន់ធ្ងរលើកម្មវិធីប្រភពបើកចំហ។

ប្រភព: opennet.ru