नोड-आयपीसी एनपीएम पॅकेजमध्ये एक दुर्भावनापूर्ण बदल केला गेला आहे जो रशिया आणि बेलारूसमधील सिस्टमवरील फायली हटवतो.

नोड-ipc NPM पॅकेज (CVE-2022-23812) मध्ये एक दुर्भावनापूर्ण बदल आढळून आला आहे, 25% संभाव्यतेसह सर्व फायलींची सामग्री ज्यांना लेखन प्रवेश आहे ते "❤️" वर्णाने बदलले आहेत. रशिया किंवा बेलारूसमधील आयपी पत्त्यांसह सिस्टमवर लॉन्च केल्यावरच दुर्भावनापूर्ण कोड सक्रिय केला जातो. नोड-आयपीसी पॅकेजमध्ये दर आठवड्याला सुमारे एक दशलक्ष डाउनलोड होतात आणि व्ह्यू-क्लीसह 354 पॅकेजेसवर अवलंबित्व म्हणून वापरले जाते. अवलंबित्व म्हणून नोड-आयपीसी असलेले सर्व प्रकल्प देखील समस्येमुळे प्रभावित झाले आहेत.

नोड-ipc 10.1.1 आणि 10.1.2 रिलीझचा भाग म्हणून दुर्भावनापूर्ण कोड NPM रेपॉजिटरीमध्ये पोस्ट केला गेला. 11 दिवसांपूर्वी प्रकल्पाच्या लेखकाच्या वतीने प्रकल्पाच्या Git रिपॉझिटरीमध्ये दुर्भावनापूर्ण बदल पोस्ट करण्यात आला होता. api.ipgeolocation.io सेवेवर कॉल करून देश कोडमध्ये निर्धारित केला गेला. दुर्भावनापूर्ण एम्बेडवरून ipgeolocation.io API मध्ये प्रवेश केलेली की आता रद्द केली गेली आहे.

संदिग्ध कोड दिसण्याबद्दलच्या चेतावणीच्या टिप्पण्यांमध्ये, प्रकल्पाच्या लेखकाने असे म्हटले आहे की बदल डेस्कटॉपवर फाइल जोडण्यासारखे आहे जे शांततेसाठी आवाहन करणारा संदेश प्रदर्शित करते. खरं तर, कोडने समोर आलेल्या सर्व फाईल्स ओव्हरराइट करण्याचा प्रयत्न करून डिरेक्टरीचा पुनरावृत्ती शोध घेतला.

नोड-आयपीसी 11.0.0 आणि 11.1.0 चे प्रकाशन नंतर NPM रेपॉजिटरीमध्ये पोस्ट केले गेले, ज्याने अंगभूत दुर्भावनायुक्त कोडला बाह्य अवलंबित्व, "पीसनोटवार" ने पुनर्स्थित केले, त्याच लेखकाद्वारे नियंत्रित केले गेले आणि पॅकेज देखरेख करणार्‍या इच्छुकांद्वारे समाविष्ट करण्यासाठी ऑफर केले गेले. निषेधात सामील होण्यासाठी. असे म्हटले आहे की peacenotwar पॅकेज केवळ शांततेबद्दल संदेश प्रदर्शित करते, परंतु लेखकाने आधीच केलेल्या कृती लक्षात घेता, पॅकेजची पुढील सामग्री अप्रत्याशित आहे आणि विनाशकारी बदलांच्या अनुपस्थितीची हमी दिली जात नाही.

त्याच वेळी, Vue.js प्रकल्पाद्वारे वापरल्या जाणार्‍या स्थिर नोड-ipc 9.2.2 शाखेचे अद्यतन जारी केले गेले. नवीन प्रकाशनात, peacenotwar व्यतिरिक्त, रंग पॅकेज देखील अवलंबित्वांच्या सूचीमध्ये जोडले गेले होते, ज्याच्या लेखकाने जानेवारीमध्ये कोडमध्ये विनाशकारी बदल एकत्रित केले होते. नवीन प्रकाशनासाठी स्त्रोत परवाना MIT वरून DBAD मध्ये बदलला आहे.

लेखकाच्या पुढील कृती अप्रत्याशित असल्याने, node-ipc वापरकर्त्यांना आवृत्ती 9.2.1 वरील अवलंबित्व निश्चित करण्याची शिफारस केली जाते. 41 पॅकेजेस राखलेल्या त्याच लेखकाने इतर विकासासाठी आवृत्त्या निश्चित करण्याची देखील शिफारस केली आहे. त्याच लेखकाने देखरेख केलेल्या काही पॅकेजेस (js-queue, easy-stack, js-message, event-pubsub) दर आठवड्याला सुमारे एक दशलक्ष डाउनलोड होतात.

जोडणे: अनुप्रयोगांच्या थेट कार्यक्षमतेशी संबंधित नसलेल्या आणि IP पत्ते किंवा सिस्टम लोकेलशी जोडलेल्या विविध खुल्या पॅकेजेसमध्ये क्रिया जोडण्यासाठी इतर प्रयत्नांची नोंद केली गेली आहे. यातील सर्वात निरुपद्रवी बदल (es5-ext, rete, PHP composer, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) रशिया आणि बेलारूसमधील वापरकर्त्यांसाठी युद्ध संपवण्यासाठी कॉल प्रदर्शित करण्यासाठी उकळतात. त्याच वेळी, अधिक धोकादायक अभिव्यक्ती देखील ओळखल्या जातात, उदाहरणार्थ, एडब्ल्यूएस टेराफॉर्म मॉड्यूल पॅकेजेसमध्ये एन्क्रिप्टर जोडला गेला आणि परवान्यामध्ये राजकीय निर्बंध आणले गेले. ESP8266 आणि ESP32 डिव्हाइसेससाठी टास्मोटा फर्मवेअरमध्ये अंगभूत बुकमार्क आहे जे डिव्हाइसचे ऑपरेशन अवरोधित करू शकते. असे मानले जाते की अशा प्रकारचे क्रियाकलाप ओपन सोर्स सॉफ्टवेअरवरील विश्वास गंभीरपणे कमी करू शकतात.

स्त्रोत: opennet.ru