സ്ഥിരീകരണമില്ലാതെ മെയിന്റനർ ചേർക്കാൻ അനുവദിക്കുന്ന NPM റിപ്പോസിറ്ററിയിലെ കേടുപാടുകൾ

NPM പാക്കേജ് റിപ്പോസിറ്ററിയിൽ ഒരു സുരക്ഷാ പ്രശ്‌നം തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, അത് ആ ഉപയോക്താവിൽ നിന്ന് സമ്മതം വാങ്ങാതെയും സ്വീകരിച്ച നടപടിയെ കുറിച്ച് അറിയിക്കാതെയും ഏതെങ്കിലും ഉപയോക്താവിനെ പരിപാലിക്കുന്നയാളായി ചേർക്കാൻ പാക്കേജ് ഉടമയെ അനുവദിക്കുന്നു. പ്രശ്‌നം സങ്കീർണ്ണമാക്കുന്നതിന്, ഒരു മൂന്നാം കക്ഷിയെ പരിപാലകനായി ചേർത്തുകഴിഞ്ഞാൽ, പാക്കേജിന്റെ യഥാർത്ഥ രചയിതാവിന് സ്വയം പരിപാലിക്കുന്നവരുടെ പട്ടികയിൽ നിന്ന് സ്വയം നീക്കം ചെയ്യാനാകും, പാക്കേജിന്റെ ഉത്തരവാദിത്തം മൂന്നാം കക്ഷിയെ മാത്രമായി നിലനിർത്തുന്നു.

ക്ഷുദ്രകരമായ പാക്കേജുകളുടെ സ്രഷ്‌ടാക്കൾക്ക് ഉപയോക്തൃ വിശ്വാസം വർദ്ധിപ്പിക്കുന്നതിനും പാക്കേജിന്റെ ഉത്തരവാദിത്തം ബഹുമാനപ്പെട്ട ഡവലപ്പർമാരാണെന്ന മിഥ്യാധാരണ സൃഷ്ടിക്കുന്നതിനുമായി മെയിന്റനർമാരുടെ എണ്ണത്തിൽ അറിയപ്പെടുന്ന ഡവലപ്പർമാരെയോ വൻകിട കമ്പനികളെയോ ചേർക്കുന്നതിന് ഈ പ്രശ്നം പ്രയോജനപ്പെടുത്താം, എന്നിരുന്നാലും വാസ്തവത്തിൽ അവർ അതുമായി യാതൊരു ബന്ധവുമില്ല, അതിന്റെ നിലനിൽപ്പിനെക്കുറിച്ച് പോലും അറിയില്ല. ഉദാഹരണത്തിന്, ഒരു ആക്രമണകാരിക്ക് ക്ഷുദ്രകരമായ ഒരു പാക്കേജ് പോസ്റ്റുചെയ്യാനും പരിപാലിക്കുന്നയാളെ മാറ്റാനും ഒരു വലിയ കമ്പനിയിൽ നിന്നുള്ള ഒരു പുതിയ വികസനം പരിശോധിക്കാൻ ഉപയോക്താക്കളെ ക്ഷണിക്കാനും കഴിയും. ചില ഡെവലപ്പർമാരുടെ പ്രശസ്തിക്ക് കളങ്കമുണ്ടാക്കാനും അവരെ സംശയാസ്പദമായ പ്രവർത്തനങ്ങളുടെയും ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങളുടെയും തുടക്കക്കാരായി അവതരിപ്പിക്കുന്നതിനും ഈ അപകടസാധ്യത ഉപയോഗിക്കാം.

ഫെബ്രുവരി 10-ന് GitHub-നെ ഈ പ്രശ്‌നം അറിയിക്കുകയും ഉപയോക്താക്കൾ മറ്റൊരു പ്രോജക്‌റ്റിൽ ചേരാൻ സമ്മതിക്കണമെന്ന് ആവശ്യപ്പെട്ട് ഏപ്രിൽ 26-ന് npmjs.com-ന്റെ പ്രശ്‌നം പരിഹരിക്കുകയും ചെയ്തു. NPM പാക്കേജുകളുടെ വലിയ സംഖ്യകളുടെ ഡെവലപ്പർമാരെ അവരുടെ സമ്മതമില്ലാതെ ചേർത്തിട്ടുള്ള ബൈൻഡിംഗുകളുടെ പാക്കേജുകളുടെ ലിസ്റ്റ് പരിശോധിക്കാൻ പ്രോത്സാഹിപ്പിക്കുന്നു.

അവലംബം: opennet.ru