ຊຸດ coa NPM, ເຊິ່ງມີ 9 ລ້ານດາວໂຫລດຕໍ່ອາທິດ, ຖືກໃສ່ກັບ malware.

ຜູ້ໂຈມຕີສາມາດຄວບຄຸມຊຸດ coa NPM ແລະປ່ອຍການປັບປຸງ 2.0.3, 2.0.4, 2.1.1, 2.1.3 ແລະ 3.1.3, ເຊິ່ງລວມມີການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍ. ຊຸດ coa, ເຊິ່ງສະຫນອງຫນ້າທີ່ສໍາລັບການແຍກແຍະການໂຕ້ຖຽງເສັ້ນຄໍາສັ່ງ, ມີປະມານ 9 ລ້ານດາວໂຫລດຕໍ່ອາທິດແລະຖືກນໍາໃຊ້ເປັນການຂຶ້ນກັບ 159 ແພກເກດ NPM ອື່ນໆ, ລວມທັງ react-scripts ແລະ vue / cli-service. ການບໍລິຫານ NPM ໄດ້ເອົາການປ່ອຍອອກມາແລ້ວດ້ວຍການປ່ຽນແປງທີ່ເປັນອັນຕະລາຍແລະໄດ້ຂັດຂວາງການພິມເຜີຍແຜ່ສະບັບໃຫມ່ຈົນກ່ວາການເຂົ້າເຖິງ repository ຂອງຜູ້ພັດທະນາຕົ້ນຕໍຈະຖືກຟື້ນຟູ.

ການໂຈມຕີດັ່ງກ່າວໄດ້ດຳເນີນໂດຍການແຮັກບັນຊີນັກພັດທະນາຂອງໂຄງການ. ການດັດແປງທີ່ເປັນອັນຕະລາຍທີ່ເພີ່ມເຂົ້າມາແມ່ນຄ້າຍຄືກັບການດັດແປງທີ່ໃຊ້ໃນການໂຈມຕີທີ່ດຳເນີນສອງອາທິດກ່ອນໜ້ານີ້ກັບຜູ້ໃຊ້ແພັກເກດ UAParser.js NPM, ແຕ່ຖືກຈຳກັດຢູ່ໃນແພລດຟອມ Windows (ໃນບລັອກດາວໂຫຼດສຳລັບ Linux и macOS (ຕົວຍຶດຕຳແໜ່ງຫວ່າງເປົ່າຖືກປະໄວ້). ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ສຳລັບການຂຸດຄົ້ນເງິນດິຈິຕອນ Monero (ເຄື່ອງຂຸດຄົ້ນ XMRig ຖືກນຳໃຊ້) ໄດ້ຖືກດາວໂຫຼດ ແລະ ເປີດໃຊ້ໃນລະບົບຂອງຜູ້ໃຊ້ຈາກໂຮດພາຍນອກ, ແລະ ຫ້ອງສະໝຸດສຳລັບການດັກຈັບລະຫັດຜ່ານໄດ້ຖືກຕິດຕັ້ງ.

ມີຂໍ້ຜິດພາດເກີດຂຶ້ນໃນເວລາສ້າງແພັກເກັດທີ່ມີລະຫັດທີ່ເປັນອັນຕະລາຍທີ່ເຮັດໃຫ້ການຕິດຕັ້ງແພັກເກັດລົ້ມເຫລວ, ດັ່ງນັ້ນບັນຫາໄດ້ຖືກລະບຸຢ່າງໄວວາແລະການແຈກຢາຍການປັບປຸງທີ່ເປັນອັນຕະລາຍໄດ້ຖືກສະກັດຢູ່ໃນຂັ້ນຕອນຕົ້ນ. ຜູ້ໃຊ້ຄວນໃຫ້ແນ່ໃຈວ່າພວກເຂົາມີເວີຊັນ coa 2.0.2 ຕິດຕັ້ງແລະແນະນໍາໃຫ້ເພີ່ມການເຊື່ອມຕໍ່ກັບສະບັບທີ່ເຮັດວຽກຢູ່ໃນ package.json ຂອງໂຄງການຂອງພວກເຂົາໃນກໍລະນີຂອງການປະນີປະນອມຄືນໃຫມ່. npm ແລະເສັ້ນດ້າຍ: "ຄວາມລະອຽດ": { "coa": "2.0.2" }, pnpm: "pnpm": { "overrides": { "coa": "2.0.2" } },

ແຫຼ່ງຂໍ້ມູນ: opennet.ru