ແພັກເກັດທີ່ເປັນອັນຕະລາຍ, bb-builder, ຖືກກວດພົບຢູ່ໃນບ່ອນເກັບຂໍ້ມູນ NPM. ການປ່ອຍ NPM 6.11

NPM Repository Administrator ຖືກບລັອກ ຊຸດ bb-Builder, ໃນ​ນັ້ນ​ມີ​ການ​ຕິດ​ຕັ້ງ​ອັນ​ຕະ​ລາຍ​ໄດ້​ຖືກ​ກວດ​ພົບ​. ແພກເກດທີ່ເປັນອັນຕະລາຍແມ່ນຍັງບໍ່ໄດ້ຮັບການກວດພົບນັບຕັ້ງແຕ່ເດືອນສິງຫາປີກາຍນີ້. ໃນລະຫວ່າງປີ, ຜູ້ໂຈມຕີສາມາດປ່ອຍ 7 ຮຸ່ນໃຫມ່, ເຊິ່ງໄດ້ຖືກດາວໂຫຼດປະມານ 200 ເທື່ອ.

ເມື່ອຕິດຕັ້ງແພັກເກັດ, ໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ສໍາລັບ Windows ໄດ້ຖືກເປີດຕົວ, ການໂອນຂໍ້ມູນລັບໄປຫາເຈົ້າພາບພາຍນອກ. ຜູ້ໃຊ້ທີ່ຕິດຕັ້ງແພັກເກັດຖືກແນະນໍາໃຫ້ປ່ຽນລະຫັດການເຂົ້າລະຫັດແລະບັນຊີທັງຫມົດໃນລະບົບຢ່າງຮີບດ່ວນ, ແລະຍັງສະແກນລະບົບສໍາລັບການມີ backdoors ໄວ້ໂດຍຜູ້ໂຈມຕີ (ການຖອນຊຸດອອກຈາກລະບົບບໍ່ໄດ້ຮັບປະກັນການກໍາຈັດ malware ທີ່ກ່ຽວຂ້ອງກັບ. ມັນ).

ນອກຈາກນັ້ນ, ມັນສາມາດສັງເກດເຫັນໄດ້ ອອກຈາກ ອັບເດດຕົວຈັດການແພັກເກດ NPM 6.11, ເລີ່ມຕົ້ນຈາກທີ່ໄຟລ໌ທີ່ເປັນຂອງຜູ້ໃຊ້ຮາກສາມາດຖືກສ້າງຂື້ນໃນໄດເລກະທໍລີທີ່ເປັນເຈົ້າຂອງຮາກເທົ່ານັ້ນ (ການວາງໄຟລ໌ດັ່ງກ່າວຢູ່ໃນໄດເລກະທໍລີຂອງຜູ້ໃຊ້ທົ່ວໄປແມ່ນຖືກຫ້າມ). ສະບັບໃຫມ່ຍັງແກ້ໄຂບັນຫາທີ່ເຮັດໃຫ້ເກີດການຂັດຂ້ອງຖ້າທາງເລືອກ "--user" ຫມາຍເຖິງຜູ້ໃຊ້ທີ່ບໍ່ມີຢູ່ (ບັນຫາສ່ວນໃຫຍ່ທີ່ຜູ້ໃຊ້ Docker ພົບ). "npm ci" ສະຫນອງການເຂົ້າເຖິງຢ່າງເຕັມທີ່ກັບຄ່າການຕັ້ງຄ່າ npm ທັງຫມົດ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru