18 ແພັກເກດ NPM ຖືກຫຼຸດຫນ້ອຍລົງ, ມີຫຼາຍກວ່າ 2 ຕື້ດາວໂຫລດຕໍ່ອາທິດ

ເປັນຜົນມາຈາກການຫຼອກລວງ, ຜູ້ໂຈມຕີສາມາດຂັດຂວາງຂໍ້ມູນປະຈໍາຕົວຂອງຜູ້ຮັກສາ 18 ແພກເກດ NPM ທີ່ນິຍົມ, ເຊິ່ງໄດ້ຖືກດາວໂຫຼດຫຼາຍກວ່າ 2 ຕື້ເທື່ອຕໍ່ອາທິດ. ຜູ້ໂຈມຕີສາມາດປ່ອຍແພັກເກັດທີ່ຖືກລະເມີດສະບັບໃໝ່ທີ່ມີລະຫັດທີ່ເປັນອັນຕະລາຍ. ນີ້ແມ່ນການໂຈມຕີທີ່ໃຫຍ່ທີ່ສຸດໃນຄັງເກັບ NPM, ເຊິ່ງມີຜົນກະທົບບໍ່ພຽງແຕ່ໂຄງການທີ່ຖືກໂຈມຕີໂດຍກົງ, ແຕ່ຍັງມີຫຼາຍຮ້ອຍພັນຊຸດທີ່ຂຶ້ນກັບພວກມັນ.

ໃນບັນດາສິ່ງອື່ນໆ, ການປັບປຸງທີ່ເປັນອັນຕະລາຍໄດ້ຖືກປ່ອຍອອກມາສໍາລັບ debug, chalk, ansi-styles, color-convert, wrap-ansi, supports-color ແລະ ansi-regex packages, ເຊິ່ງມີຫຼາຍກວ່າ 200 ລ້ານດາວໂຫລດໃນອາທິດທີ່ຜ່ານມາ. ຊຸດ chalk ແລະ debug ໂດດເດັ່ນແຍກຕ່າງຫາກ, ຍ້ອນວ່າພວກມັນເປັນແພັກເກັດທີ່ຂຶ້ນກັບ 129286 ແລະ 55289 NPM. ແພັກເກັດຖືກທໍາລາຍເນື່ອງຈາກການຮົ່ວໄຫລຂອງຂໍ້ມູນປະຈໍາບັນຊີຂອງ Josh Junon, ຜູ້ທີ່ຮັກສາ debug-js, chalk ແລະຫ້ອງສະຫມຸດຈໍານວນຫຼາຍສໍາລັບຄໍາຮ້ອງສະຫມັກ console.

ໃນລະຫວ່າງການ phishing, ການແຈ້ງເຕືອນທາງອີເມລ໌ໄດ້ຖືກສົ່ງໄປຫາຜູ້ຮັກສາໃນນາມຂອງໂຄງການ NPM ເພື່ອອັບເດດການຕັ້ງຄ່າການພິສູດຢືນຢັນສອງປັດໃຈຂອງພວກເຂົາ. ອີເມວລະບຸວ່າຜູ້ໃຊ້ບໍ່ໄດ້ອັບເດດຂໍ້ມູນການກວດສອບສອງປັດໃຈຂອງພວກເຂົາເປັນເວລາຫຼາຍກວ່າ 12 ເດືອນ ແລະບັນຊີທັງໝົດທີ່ມີການຕັ້ງຄ່າ 10FA ທີ່ບໍ່ໄດ້ອັບເດດຈະຖືກບລັອກໃນວັນທີ 2 ກັນຍາເພື່ອປ້ອງກັນການເຂົ້າເຖິງທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດ.

ຂໍ້ຄວາມດັ່ງກ່າວໄດ້ຖືກສົ່ງໄປຈາກທີ່ຢູ່ "support@npmjs.help" ແລະຖືກສົ່ງໄປຫາ npmjs.help, ເວັບໄຊທ໌ທີ່ replicated npmjs.com. ການຫຼອກລວງເບິ່ງຄືວ່າຄ້າຍຄືກັນກັບການໂຈມຕີທີ່ຜ່ານມາກ່ຽວກັບ PyPI, NPM, ແລະ addons.mozilla.org, ເຊິ່ງໃຊ້ການສົ່ງຕົວແທນທີ່ໂປ່ງໃສຂອງການຈະລາຈອນຈາກເວັບໄຊທ໌ phishing ໄປຫາເວັບໄຊທ໌ທີ່ແທ້ຈິງເພື່ອຂ້າມຜ່ານການກວດສອບສອງປັດໃຈແລະສ້າງພາບລວງຕາຂອງການເຮັດວຽກກັບໄດເລກະທໍລີ NPM ທີ່ແທ້ຈິງ. ໂດຍການຈັດແຈງສໍາລັບ npmjs.help ເພື່ອເຮັດຫນ້າທີ່ເປັນຕົວແທນເພື່ອເຂົ້າເຖິງ npmjs.com, ຜູ້ໂຈມຕີໄດ້ຕິດຕາມການເຂົ້າຊົມທັງຫມົດ, ລວມທັງກິດຈະກໍາໃນຫນ້າເຂົ້າສູ່ລະບົບແລະຫນ້າການກວດສອບປັດໄຈທີສອງ.

ການປັບປຸງແພັກເກດທີ່ປ່ອຍອອກມາໂດຍຜູ້ໂຈມຕີມີລະຫັດທີ່ເປັນອັນຕະລາຍ ທີ່ຖືກປະຕິບັດຢູ່ໃນລະບົບຂອງຜູ້ໃຊ້ທີ່ເຮັດວຽກກັບເວັບໄຊ ຫຼືແອັບພລິເຄຊັນຕ່າງໆ ໂດຍໃຊ້ແພັກເກັດທີ່ຖືກລະເມີດ. ການແຊກຊຶມທີ່ເປັນອັນຕະລາຍສໍາລັບຕົວທ່ອງເວັບຂັດຂວາງການຈະລາຈອນແລະກິດຈະກໍາ API ຂອງເວັບໂດຍການຕິດຕົວຈັດການຂອງມັນກັບຫນ້າທີ່ fetch ແລະ XMLHttpRequest, ແລະຍັງແຊກແຊງກັບການເຮັດວຽກຂອງການໂຕ້ຕອບ crypto wallet ປົກກະຕິເພື່ອທົດແທນລາຍລະອຽດຂອງຜູ້ຮັບໃນລະຫວ່າງການໂອນ. ການທົດແທນໄດ້ຖືກປະຕິບັດໃນລະດັບການດັດແກ້ຄ່າໃນຄໍາຮ້ອງຂໍແລະການຕອບສະຫນອງ, unnoticeably ສໍາລັບຜູ້ໃຊ້ (ລາຍລະອຽດທີ່ຖືກຕ້ອງໄດ້ຖືກສະແດງຢູ່ໃນການໂຕ້ຕອບຜູ້ໃຊ້). ຮູບແບບການເຮັດທຸລະກໍາທີ່ສະຫນັບສະຫນູນແມ່ນ Ethereum, Bitcoin, Solana, Tron, Litecoin ແລະ Bitcoin Cash.

ບາງການປະກາດການໂຈມຕີຂອງແພັກເກັດ NPM ໃນຄໍາຖາມຍັງກ່າວເຖິງລະຫັດອັນຕະລາຍທີ່ເກັບກໍາແລະສົ່ງລະຫັດການເຂົ້າລະຫັດ, ລະຫັດຜ່ານ, ແລະ tokens ໃນລະຫວ່າງການຕິດຕັ້ງຫຼືເປີດຕົວແພັກເກັດ. ລາຍ​ລະ​ອຽດ​ກ່ຽວ​ກັບ​ຮູບ​ແບບ​ຂອງ​ການ​ແຊກ​ແຊງ​ອັນ​ຕະ​ລາຍ​ນີ້​ແມ່ນ​ຍັງ​ບໍ່​ໄດ້​ສະ​ຫນອງ​ໃຫ້​.

ແພັກເກດທີ່ຖືກລະເມີດ:

ດາວໂຫຼດ PackagePeak ຕໍ່ອາທິດຈຳນວນຂອງ dependenciesVersion ທີ່ມີລະຫັດອັນຕະລາຍ ansi-styles524 million36956.2.2 debug465 million552894.4.2 supports-color450 million429810.2.1 chalk436 million1292865.6.1 million strip-ansi326 million strip-ansi96687.1.1. million313 color-name36783.1.1 million312 ansi-regex32142.0.1 million302 wrap-ansi32386.2.1 million235 is-arrayish62759.0.1 million90 slice-ansi15280.3.3 million81.8rex9037.1.1 million color64.7 million15441.3.3 supports-hyperlinks35 million43435.0.1 color-string31.5 million7924.1.1 simple-swizzle31 million4112.1.1 has-ansi29.5 million1210.2.3 chalk-templates19.7 million4226.0.1.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru