റഷ്യയിലെയും ബെലാറസിലെയും സിസ്റ്റങ്ങളിലെ ഫയലുകൾ ഇല്ലാതാക്കുന്ന നോഡ്-ഐപിസി എൻപിഎം പാക്കേജിൽ ക്ഷുദ്രകരമായ മാറ്റം വരുത്തി.

നോഡ്-ipc NPM പാക്കേജിൽ (CVE-2022-23812) ഒരു ക്ഷുദ്രകരമായ മാറ്റം കണ്ടെത്തി, റൈറ്റിംഗ് ആക്‌സസ് ഉള്ള എല്ലാ ഫയലുകളുടെയും ഉള്ളടക്കം "❤️" പ്രതീകം ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കാനുള്ള 25% സാധ്യതയുണ്ട്. റഷ്യയിൽ നിന്നോ ബെലാറസിൽ നിന്നോ ഐപി വിലാസങ്ങളുള്ള സിസ്റ്റങ്ങളിൽ ലോഞ്ച് ചെയ്യുമ്പോൾ മാത്രമേ ക്ഷുദ്ര കോഡ് സജീവമാകൂ. നോഡ്-ഐപിസി പാക്കേജിന് ആഴ്‌ചയിൽ ഏകദേശം ഒരു ദശലക്ഷം ഡൗൺലോഡുകൾ ഉണ്ട്, വ്യൂ-ക്ലി ഉൾപ്പെടെ 354 പാക്കേജുകളെ ആശ്രയിച്ചാണ് ഇത് ഉപയോഗിക്കുന്നത്. നോഡ്-ഐ‌പി‌സി ഡിപൻഡൻസിയായി ഉള്ള എല്ലാ പ്രോജക്‌റ്റുകളെയും പ്രശ്‌നം ബാധിക്കുന്നു.

നോഡ്-ഐപിസി 10.1.1, 10.1.2 റിലീസുകളുടെ ഭാഗമായി എൻപിഎം റിപ്പോസിറ്ററിയിലേക്ക് ക്ഷുദ്രകരമായ കോഡ് പോസ്റ്റ് ചെയ്തു. 11 ദിവസം മുമ്പ് പ്രോജക്റ്റിന്റെ രചയിതാവിന്റെ പേരിൽ പ്രോജക്റ്റിന്റെ Git റിപ്പോസിറ്ററിയിൽ ക്ഷുദ്രകരമായ ഒരു മാറ്റം പോസ്‌റ്റ് ചെയ്‌തു. api.ipgeolocation.io സേവനത്തിലേക്ക് വിളിച്ച് കോഡിൽ രാജ്യം നിർണ്ണയിച്ചു. ക്ഷുദ്രകരമായ എംബെഡിൽ നിന്ന് ipgeolocation.io API-ലേക്ക് ആക്‌സസ് ചെയ്‌ത കീ ഇപ്പോൾ അസാധുവാക്കിയിരിക്കുന്നു.

സംശയാസ്പദമായ കോഡിന്റെ രൂപത്തെക്കുറിച്ചുള്ള മുന്നറിയിപ്പിനുള്ള അഭിപ്രായങ്ങളിൽ, സമാധാനത്തിനായി വിളിക്കുന്ന ഒരു സന്ദേശം പ്രദർശിപ്പിക്കുന്ന ഡെസ്ക്ടോപ്പിലേക്ക് ഒരു ഫയൽ ചേർക്കുന്നതിന് തുല്യമാണ് മാറ്റം എന്ന് പ്രോജക്റ്റിന്റെ രചയിതാവ് പ്രസ്താവിച്ചു. വാസ്തവത്തിൽ, നേരിട്ട എല്ലാ ഫയലുകളും തിരുത്തിയെഴുതാനുള്ള ശ്രമത്തോടെ കോഡ് ഡയറക്ടറികളുടെ ആവർത്തന തിരയൽ നടത്തി.

node-ipc 11.0.0, 11.1.0 എന്നിവയുടെ റിലീസുകൾ പിന്നീട് NPM റിപ്പോസിറ്ററിയിലേക്ക് പോസ്റ്റ് ചെയ്തു, അത് ബിൽറ്റ്-ഇൻ ക്ഷുദ്ര കോഡിന് പകരം ഒരു ബാഹ്യ ആശ്രിതത്വമായ "peacenotwar" ഉപയോഗിച്ച് അതേ രചയിതാവ് നിയന്ത്രിച്ച് പാക്കേജ് പരിപാലിക്കുന്നവർക്ക് ഉൾപ്പെടുത്താൻ വാഗ്ദാനം ചെയ്തു. പ്രതിഷേധത്തിൽ ചേരാൻ. സമാധാനത്തെക്കുറിച്ചുള്ള ഒരു സന്ദേശം മാത്രമേ പീസ് നോട്ട്വാർ പാക്കേജ് പ്രദർശിപ്പിക്കുകയുള്ളൂവെന്ന് പ്രസ്താവിക്കപ്പെടുന്നു, എന്നാൽ രചയിതാവ് ഇതിനകം സ്വീകരിച്ച നടപടികൾ കണക്കിലെടുക്കുമ്പോൾ, പാക്കേജിലെ കൂടുതൽ ഉള്ളടക്കങ്ങൾ പ്രവചനാതീതമാണ്, വിനാശകരമായ മാറ്റങ്ങളുടെ അഭാവം ഉറപ്പുനൽകുന്നില്ല.

അതേ സമയം, Vue.js പ്രോജക്റ്റ് ഉപയോഗിക്കുന്ന സ്റ്റേബിൾ നോഡ്-ഐപിസി 9.2.2 ബ്രാഞ്ചിലേക്കുള്ള ഒരു അപ്‌ഡേറ്റ് പുറത്തിറങ്ങി. പുതിയ റിലീസിൽ, പീസ്നോട്ട്വാറിന് പുറമേ, ഡിപൻഡൻസികളുടെ പട്ടികയിലേക്ക് നിറങ്ങളുടെ പാക്കേജും ചേർത്തു, അതിന്റെ രചയിതാവ് ജനുവരിയിൽ കോഡിലേക്ക് വിനാശകരമായ മാറ്റങ്ങൾ സംയോജിപ്പിച്ചു. പുതിയ പതിപ്പിന്റെ ഉറവിട ലൈസൻസ് MIT-ൽ നിന്ന് DBAD-ലേക്ക് മാറ്റി.

രചയിതാവിന്റെ തുടർന്നുള്ള പ്രവർത്തനങ്ങൾ പ്രവചനാതീതമായതിനാൽ, പതിപ്പ് 9.2.1-ലെ ഡിപൻഡൻസികൾ പരിഹരിക്കാൻ node-ipc ഉപയോക്താക്കൾ ശുപാർശ ചെയ്യുന്നു. 41 പാക്കേജുകൾ പരിപാലിക്കുന്ന അതേ രചയിതാവ് മറ്റ് സംഭവവികാസങ്ങൾക്കായി പതിപ്പുകൾ ശരിയാക്കാനും ശുപാർശ ചെയ്യുന്നു. അതേ രചയിതാവ് പരിപാലിക്കുന്ന ചില പാക്കേജുകൾക്ക് (js-ക്യൂ, ഈസി-സ്റ്റാക്ക്, js-മെസേജ്, ഇവന്റ്-പബ്‌സബ്) ആഴ്ചയിൽ ഏകദേശം ഒരു ദശലക്ഷം ഡൗൺലോഡുകൾ ഉണ്ട്.

കൂട്ടിച്ചേർക്കൽ: ആപ്ലിക്കേഷനുകളുടെ നേരിട്ടുള്ള പ്രവർത്തനവുമായി ബന്ധമില്ലാത്തതും IP വിലാസങ്ങളുമായോ സിസ്റ്റം ലൊക്കേലുമായോ ബന്ധിപ്പിച്ചിരിക്കുന്ന വിവിധ ഓപ്പൺ പാക്കേജുകളിലേക്ക് പ്രവർത്തനങ്ങൾ ചേർക്കുന്നതിനുള്ള മറ്റ് ശ്രമങ്ങൾ രേഖപ്പെടുത്തിയിട്ടുണ്ട്. ഈ മാറ്റങ്ങളിൽ ഏറ്റവും നിരുപദ്രവകരമായത് (es5-ext, rete, PHP കമ്പോസർ, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) റഷ്യയിൽ നിന്നും ബെലാറസിൽ നിന്നുമുള്ള ഉപയോക്താക്കൾക്ക് യുദ്ധം അവസാനിപ്പിക്കാൻ കോളുകൾ പ്രദർശിപ്പിക്കാൻ കഴിയും. അതേ സമയം, കൂടുതൽ അപകടകരമായ പ്രകടനങ്ങളും തിരിച്ചറിഞ്ഞിട്ടുണ്ട്, ഉദാഹരണത്തിന്, AWS ടെറാഫോം മൊഡ്യൂളുകളുടെ പാക്കേജുകളിലേക്ക് ഒരു എൻക്രിപ്റ്റർ ചേർക്കുകയും ലൈസൻസിൽ രാഷ്ട്രീയ നിയന്ത്രണങ്ങൾ ഏർപ്പെടുത്തുകയും ചെയ്തു. ESP8266, ESP32 ഉപകരണങ്ങൾക്കുള്ള ടാസ്മോട്ട ഫേംവെയറിന് ഉപകരണങ്ങളുടെ പ്രവർത്തനം തടയാൻ കഴിയുന്ന ഒരു ബിൽറ്റ്-ഇൻ ബുക്ക്മാർക്ക് ഉണ്ട്. ഇത്തരം പ്രവർത്തനങ്ങൾ ഓപ്പൺ സോഴ്‌സ് സോഫ്‌റ്റ്‌വെയറിലുള്ള വിശ്വാസത്തെ ഗുരുതരമായി ദുർബലപ്പെടുത്തുമെന്ന് വിശ്വസിക്കപ്പെടുന്നു.

അവലംബം: opennet.ru