PureScript ഇൻസ്റ്റാളറിനൊപ്പം npm പാക്കേജിനുള്ള ഡിപൻഡൻസികളിൽ ക്ഷുദ്രകരമായ മാറ്റങ്ങൾ കണ്ടെത്തി

PureScript ഇൻസ്റ്റാളറുള്ള npm പാക്കേജിനെ ആശ്രയിച്ചിരിക്കുന്നു തിരിച്ചറിഞ്ഞു നിങ്ങൾ ഒരു പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ ദൃശ്യമാകുന്ന ക്ഷുദ്ര കോഡ് ശുദ്ധലിപി. ക്ഷുദ്ര കോഡ് ഡിപൻഡൻസികൾ വഴി ഉൾച്ചേർത്തിരിക്കുന്നു load-from-cwd-or-npm и നിരക്ക്-മാപ്പ്. ഈ ഡിപൻഡൻസികളുള്ള പാക്കേജുകളുടെ അറ്റകുറ്റപ്പണികൾ നടത്തുന്നത് പ്യുർസ്ക്രിപ്റ്റ് ഇൻസ്റ്റാളറുള്ള npm പാക്കേജിന്റെ യഥാർത്ഥ രചയിതാവാണ് എന്നത് ശ്രദ്ധേയമാണ്, അദ്ദേഹം അടുത്തിടെ വരെ ഈ npm പാക്കേജ് പരിപാലിക്കുന്നുണ്ടായിരുന്നു, എന്നാൽ ഏകദേശം ഒരു മാസം മുമ്പ് പാക്കേജ് മറ്റ് മെയിന്റനർമാർക്ക് കൈമാറി.

പ്യുവർസ്ക്രിപ്റ്റ് npm പാക്കേജിന്റെ യഥാർത്ഥ രചയിതാവുമായുള്ള നിരവധി അഭിപ്രായവ്യത്യാസങ്ങൾക്കും അസുഖകരമായ ചർച്ചകൾക്കും ശേഷം പരിപാലന അവകാശങ്ങൾ കൈമാറിയ പാക്കേജിന്റെ പുതിയ പരിപാലകരിൽ ഒരാളാണ് പ്രശ്നം കണ്ടെത്തിയത്. പുതിയ മെയിന്റനർമാർ പ്യുവർസ്ക്രിപ്റ്റ് കംപൈലറിന് ഉത്തരവാദികളാണ്, കൂടാതെ NPM പാക്കേജും അതിന്റെ ഇൻസ്റ്റാളറും പരിപാലിക്കേണ്ടത് ഒരേ മെയിന്റനർമാരാണെന്നും ഒരു ബാഹ്യ കക്ഷിയല്ലെന്നും നിർബന്ധിച്ചു. പ്യുവർസ്ക്രിപ്റ്റ് ഇൻസ്റ്റാളറുമായുള്ള npm പാക്കേജിന്റെ രചയിതാവ് വളരെക്കാലത്തേക്ക് സമ്മതിച്ചില്ല, എന്നാൽ പിന്നീട് അത് നൽകുകയും ശേഖരത്തിലേക്ക് ആക്സസ് കൈമാറുകയും ചെയ്തു. എന്നിരുന്നാലും, ചില ആശ്രിതത്വങ്ങൾ അദ്ദേഹത്തിന്റെ നിയന്ത്രണത്തിൽ തുടർന്നു.

കഴിഞ്ഞ ആഴ്ച PureScript 0.13.2 കമ്പൈലർ പുറത്തിറങ്ങി
പുതിയ മെയിന്റനർമാർ ഒരു ഇൻസ്റ്റാളർ ഉപയോഗിച്ച് npm പാക്കേജിന്റെ അനുബന്ധ അപ്‌ഡേറ്റ് തയ്യാറാക്കി, അതിന്റെ ഡിപൻഡൻസിയിൽ ക്ഷുദ്ര കോഡ് തിരിച്ചറിഞ്ഞു. പ്യുവർസ്ക്രിപ്റ്റ് ഇൻസ്റ്റാളറുള്ള npm പാക്കേജിന്റെ രചയിതാവ്, മെയിൻറനർ എന്ന നിലയിൽ നിന്ന് നീക്കം ചെയ്ത, തന്റെ അക്കൗണ്ട് അജ്ഞാതരായ ആക്രമണകാരികൾ അപഹരിച്ചതായി പറഞ്ഞു. എന്നിരുന്നാലും, അതിന്റെ നിലവിലെ രൂപത്തിൽ, ക്ഷുദ്ര കോഡിന്റെ പ്രവർത്തനങ്ങൾ പാക്കേജിന്റെ ഇൻസ്റ്റാളേഷൻ അട്ടിമറിക്കുന്നതിന് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു, ഇത് പുതിയ പരിപാലകരിൽ നിന്നുള്ള ആദ്യ പതിപ്പായിരുന്നു. വ്യക്തമായ ക്ഷുദ്ര പ്രവർത്തനങ്ങളൊന്നും നടത്താതെ "npm i -g purescript" എന്ന കമാൻഡ് ഉപയോഗിച്ച് ഒരു പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യാൻ ശ്രമിക്കുമ്പോൾ, ക്ഷുദ്രകരമായ പ്രവർത്തനങ്ങൾ ഒരു പിശക് സന്ദേശമുള്ള ഒരു ലൂപ്പിന് തുല്യമാണ്.

രണ്ട് ആക്രമണങ്ങൾ കണ്ടെത്തി. പ്യൂർസ്ക്രിപ്റ്റ് npm പാക്കേജിന്റെ പുതിയ പതിപ്പ് ഔദ്യോഗികമായി പുറത്തിറങ്ങി ഏതാനും മണിക്കൂറുകൾക്ക് ശേഷം, load-from-cwd-or-npm 3.0.2 ഡിപൻഡൻസിയുടെ ഒരു പുതിയ പതിപ്പ് ആരോ സൃഷ്ടിച്ചു, അതിന് പകരം loadFromCwdOrNpm() എന്നതിലേക്ക് കോളിലേക്ക് നയിച്ച മാറ്റങ്ങൾ ഇൻസ്റ്റലേഷനു് ആവശ്യമായ ബൈനറി ഫയലുകളുടെ ലിസ്റ്റ് തിരികെ സ്ട്രീം ചെയ്തു കടന്നുപോകുക, ഇൻപുട്ട് അന്വേഷണങ്ങൾ ഔട്ട്പുട്ട് മൂല്യങ്ങളായി മിററിംഗ് ചെയ്യുന്നു.

4 ദിവസത്തിന് ശേഷം, ഡെവലപ്പർമാർ പരാജയങ്ങളുടെ ഉറവിടം കണ്ടെത്തി, ഡിപൻഡൻസികളിൽ നിന്ന് ലോഡ്-ഫ്രം-സിഡബ്ല്യുഡി-ഓ-എൻപിഎം ഒഴിവാക്കാനുള്ള ഒരു അപ്‌ഡേറ്റ് പുറത്തിറക്കാൻ തയ്യാറെടുക്കുമ്പോൾ, ആക്രമണകാരികൾ ലോഡ്-ഫ്രം-സിഡബ്ല്യുഡി-ഓ-എൻപിഎം മറ്റൊരു അപ്‌ഡേറ്റ് പുറത്തിറക്കി. 3.0.4, അതിൽ ക്ഷുദ്ര കോഡ് നീക്കം ചെയ്തു. എന്നിരുന്നാലും, ഉടൻ തന്നെ, മറ്റൊരു ഡിപൻഡൻസി, റേറ്റ്-മാപ്പ് 1.0.3-ലേക്കുള്ള ഒരു അപ്‌ഡേറ്റ് പുറത്തിറങ്ങി, ഇത് ലോഡിംഗിനുള്ള കോൾബാക്ക് കോളിനെ തടഞ്ഞ ഒരു പരിഹാരം ചേർത്തു. ആ. രണ്ട് സാഹചര്യങ്ങളിലും, ലോഡ്-ഫ്രം-സിഡബ്ല്യുഡി-ഓർ-എൻപിഎം, റേറ്റ്-മാപ്പ് എന്നിവയുടെ പുതിയ പതിപ്പുകളിലെ മാറ്റങ്ങൾ വ്യക്തമായ അട്ടിമറിയുടെ സ്വഭാവത്തിലായിരുന്നു. മാത്രമല്ല, ക്ഷുദ്ര കോഡിന് ഒരു പരിശോധന ഉണ്ടായിരുന്നു, അത് പുതിയ മെയിന്റനർമാരിൽ നിന്ന് ഒരു റിലീസ് ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ മാത്രം തെറ്റായ പ്രവർത്തനങ്ങൾ ട്രിഗർ ചെയ്യുന്നു, പഴയ പതിപ്പുകൾ ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ ഒരു തരത്തിലും ദൃശ്യമാകില്ല.

പ്രശ്നമുള്ള ഡിപൻഡൻസികൾ നീക്കം ചെയ്ത ഒരു അപ്ഡേറ്റ് പുറത്തിറക്കി ഡവലപ്പർമാർ പ്രശ്നം പരിഹരിച്ചു. PureScript-ന്റെ ഒരു പ്രശ്‌നകരമായ പതിപ്പ് ഇൻസ്റ്റാൾ ചെയ്യാൻ ശ്രമിച്ചതിന് ശേഷം, അപഹരിക്കപ്പെട്ട കോഡ് ഉപയോക്തൃ സിസ്റ്റങ്ങളിൽ സ്ഥിരതാമസമാക്കുന്നത് തടയുന്നതിന്, node_modules ഡയറക്‌ടറികളുടെയും പാക്കേജ്-lock.json ഫയലുകളുടെയും ഉള്ളടക്കങ്ങൾ ഇല്ലാതാക്കാൻ ശുപാർശ ചെയ്യുന്നു, തുടർന്ന് പ്യൂർസ്‌ക്രിപ്റ്റ് പതിപ്പ് 0.13.2 ആയി സജ്ജമാക്കുക. താഴ്ന്ന പരിധി.

അവലംബം: opennet.ru