ທົດລອງສ້າງແພັກເກັດ NPM ທີ່ຂຶ້ນກັບແພັກເກັດທັງໝົດໃນບ່ອນເກັບມ້ຽນ

ຫນຶ່ງໃນຜູ້ພັດທະນາແພັກເກັດ JavaScript ໄດ້ທົດລອງສ້າງແລະວາງໄວ້ໃນ NPM repository ຊຸດ "ທຸກສິ່ງທຸກຢ່າງ", ເຊິ່ງກວມເອົາແພັກເກັດທີ່ມີຢູ່ທັງຫມົດໃນ repository ກັບ dependencies. ເພື່ອປະຕິບັດຄຸນສົມບັດນີ້, ຊຸດ "ທຸກສິ່ງທຸກຢ່າງ" ມີຄວາມເພິ່ງພາອາໄສໂດຍກົງກັບຫ້າຊຸດ "@everything-registry/chunk-N", ເຊິ່ງໃນນັ້ນມີການເພິ່ງພາອາໄສຫຼາຍກວ່າ 3000 ຊຸດ "ຍ່ອຍ-N", ແຕ່ລະອັນທີ່ຜູກມັດກັບ. 800 ຊຸດທີ່ມີຢູ່ແລ້ວໃນ repository.

ການວາງ "ທຸກສິ່ງທຸກຢ່າງ" ໃນ NPM ມີສອງຜົນກະທົບທີ່ຫນ້າສົນໃຈ. ທໍາອິດ, ຊຸດ "ທຸກສິ່ງທຸກຢ່າງ" ໄດ້ກາຍເປັນປະເພດຂອງເຄື່ອງມືສໍາລັບການໂຈມຕີ DoS, ນັບຕັ້ງແຕ່ຄວາມພະຍາຍາມທີ່ຈະຕິດຕັ້ງມັນເຮັດໃຫ້ການດາວໂຫຼດຫຼາຍລ້ານແພກເກດທີ່ໂຮດຢູ່ໃນ NPM ແລະຫມົດພື້ນທີ່ດິດທີ່ມີຢູ່ຫຼືຢຸດການປະຕິບັດຂະບວນການສ້າງ. ອີງຕາມສະຖິຕິ NPM, ຊຸດໄດ້ຖືກດາວໂຫຼດປະມານ 250 ເທື່ອ, ແຕ່ບໍ່ມີໃຜລົບກວນທີ່ຈະເພີ່ມມັນເປັນການເພິ່ງພາອາໄສແພັກເກັດອື່ນຫຼັງຈາກບັນຊີຂອງຜູ້ພັດທະນາຖືກແຮັກເພື່ອເຮັດການລ່ວງລະເມີດ. ນອກຈາກນັ້ນ, ບາງບໍລິການ ແລະເຄື່ອງມືທີ່ຕິດຕາມ ແລະກວດກາຊຸດໃໝ່ທີ່ຈັດໂດຍ NPM ໄດ້ຖືກເປີດເຜີຍໂດຍບໍ່ໄດ້ຕັ້ງໃຈທີ່ຈະໂຈມຕີ.

ອັນທີສອງ, ການເຜີຍແຜ່ຊຸດ "ທຸກສິ່ງທຸກຢ່າງ" ໄດ້ສະກັດກັ້ນຄວາມສາມາດທີ່ຈະເອົາແພັກເກັດໃດໆໃນ NPM ທີ່ສິ້ນສຸດລົງໃນບັນຊີລາຍຊື່ຂອງການເພິ່ງພາອາໄສຂອງມັນ. ຊຸດຈາກ NPM ສາມາດຖືກໂຍກຍ້າຍອອກໂດຍຜູ້ຂຽນພຽງແຕ່ຖ້າມັນບໍ່ໄດ້ຖືກນໍາໃຊ້ໃນຄວາມເພິ່ງພາອາໄສຂອງແພັກເກັດອື່ນ, ແຕ່ຫຼັງຈາກການພິມເຜີຍແຜ່ "ທຸກສິ່ງທຸກຢ່າງ" ການຂື້ນກັບໄດ້ຫັນອອກເພື່ອໃຫ້ກວມເອົາແພັກເກັດທັງຫມົດໃນ repository. ເປັນທີ່ສັງເກດວ່າການຖອນຊຸດ "ທຸກສິ່ງທຸກຢ່າງ" ຕົວຂອງມັນເອງກໍ່ຖືກສະກັດກັ້ນ, ນັບຕັ້ງແຕ່ 9 ປີທີ່ຜ່ານມາຊຸດການທົດສອບ "ສິ່ງອື່ນ" ໄດ້ຖືກຈັດພີມມາຢູ່ໃນບ່ອນເກັບມ້ຽນ, ເຊິ່ງລວມເອົາສາຍ "ທຸກສິ່ງທຸກຢ່າງ" ໃນບັນຊີລາຍຊື່ຂອງຄວາມເພິ່ງພາອາໄສ. ດັ່ງນັ້ນ, ຫຼັງຈາກການພິມເຜີຍແຜ່, ຊຸດ "ທຸກສິ່ງທຸກຢ່າງ" ໄດ້ສິ້ນສຸດລົງຂຶ້ນກັບຊຸດອື່ນ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru