Експериментирајте со креирање NPM пакет кој зависи од сите пакети во складиштето

Еден од развивачите на JavaScript пакети експериментираше со креирање и ставање во складиштето NPM на пакетот „сè“, кој ги покрива сите постоечки пакети во складиштето со зависности. За да се имплементира оваа функција, пакетот „сè“ има директни зависности со пет пакети „@everything-registry/chunk-N“, кои пак имаат зависност од повеќе од 3000 пакети „sub-chunk-N“, од кои секој се врзува за 800 постоечки пакети во складиштето.

Ставањето „сè“ во НПМ имаше два интересни ефекти. Прво, пакетот „сè“ стана еден вид алатка за извршување DoS напади, бидејќи обидот за негово инсталирање води до преземање милиони пакети хостирани во NPM и исцрпување на достапниот простор на дискот или запирање на извршувањето на процесите на градење. Според статистиката на НПМ, пакетот бил преземен околу 250 пати, но никој не се мачи да го додаде како зависност во друг пакет откако сметката на развивачот била хакирана за да изврши саботажа. Покрај тоа, некои услуги и алатки кои ги следат и проверуваат новите пакети хостирани од НПМ беа несвесно изложени на напад.

Второ, објавувањето на пакетот „сè“ ефективно ја блокираше можноста да се отстранат сите пакети во НПМ што завршија во неговата листа на зависности. Пакет од НПМ може да го отстрани авторот само ако веќе не се користи во зависностите на другите пакети, но по објавувањето на „сè“ зависностите се покажаа дека ги покриваат сите пакети во складиштето. Вреди да се одбележи дека отстранувањето на самиот пакет „сè“ исто така беше блокирано, бидејќи пред 9 години во складиштето беше објавен тест пакет „сè друго“, во кој беше вклучена низата „сè“ во списокот на зависности. Така, по објавувањето, пакетот „сè“ заврши зависен од друг пакет.

Извор: opennet.ru