PureScript इंस्टॉलरसह npm पॅकेजसाठी अवलंबित्वांमध्ये दुर्भावनापूर्ण बदल आढळले

PureScript इंस्टॉलरसह npm पॅकेजवर अवलंबून ओळखले दुर्भावनायुक्त कोड जो तुम्ही पॅकेज स्थापित करण्याचा प्रयत्न करता तेव्हा दिसून येतो शुद्ध लिपी. दुर्भावनापूर्ण कोड अवलंबित्वांद्वारे एम्बेड केलेला आहे लोड-from-cwd-किंवा-npm и दर-नकाशा. हे लक्षात घेण्याजोगे आहे की या अवलंबित्वांसह पॅकेजेसची देखभाल npm पॅकेजच्या मूळ लेखकाद्वारे PureScript इंस्टॉलरद्वारे केली जाते, जो अलीकडेपर्यंत या npm पॅकेजची देखरेख करत होता, परंतु सुमारे एक महिन्यापूर्वी पॅकेज इतर देखभालकर्त्यांकडे हस्तांतरित करण्यात आले होते.

ही समस्या पॅकेजच्या नवीन देखभालकर्त्यांपैकी एकाने शोधून काढली होती, ज्यांच्याकडे प्युअरस्क्रिप्ट एनपीएम पॅकेजच्या मूळ लेखकाशी अनेक मतभेद आणि अप्रिय चर्चेनंतर देखभाल अधिकार हस्तांतरित केले गेले होते. नवीन देखभाल करणारे PureScript कंपाइलरसाठी जबाबदार आहेत आणि आग्रह धरतात की NPM पॅकेज आणि त्याचे इंस्टॉलर समान देखभालकर्त्यांद्वारे राखले जावे आणि बाहेरील पक्षाद्वारे नाही. PureScript इंस्टॉलरसह npm पॅकेजचे लेखक बर्याच काळासाठी सहमत नव्हते, परंतु नंतर त्यांनी रिपॉजिटरीमध्ये प्रवेश दिला आणि हस्तांतरित केला. तथापि, काही अवलंबित्व त्याच्या नियंत्रणाखाली राहिले.

गेल्या आठवड्यात PureScript 0.13.2 कंपाइलर रिलीझ झाला आणि
नवीन देखभालकर्त्यांनी इन्स्टॉलरसह npm पॅकेजचे संबंधित अपडेट तयार केले, ज्याच्या अवलंबनांमध्ये दुर्भावनापूर्ण कोड ओळखला गेला. PureScript इंस्टॉलरसह npm पॅकेजचे लेखक, ज्याला त्याच्या देखभालकर्ता म्हणून काढून टाकण्यात आले होते, त्यांनी सांगितले की अज्ञात हल्लेखोरांनी त्यांच्या खात्याशी तडजोड केली होती. तथापि, सध्याच्या स्वरूपात, दुर्भावनापूर्ण कोडच्या कृती पॅकेजच्या स्थापनेला तोडफोड करण्यापुरत्या मर्यादित होत्या, जी नवीन देखभालकर्त्यांकडून पहिली आवृत्ती होती. कोणतीही स्पष्ट दुर्भावनापूर्ण क्रिया न करता “npm i -g purescript” कमांडसह पॅकेज स्थापित करण्याचा प्रयत्न करताना दुर्भावनापूर्ण कृती त्रुटी संदेशासह लूपच्या रूपात होतात.

दोन हल्ले आढळून आले. purescript npm पॅकेजच्या नवीन आवृत्तीच्या अधिकृत प्रकाशनानंतर काही तासांनंतर, कोणीतरी लोड-from-cwd-किंवा-npm 3.0.2 अवलंबित्वाची नवीन आवृत्ती तयार केली, ज्यामध्ये बदलांमुळे loadFromCwdOrNpm() वर कॉल केला गेला. स्थापनेसाठी आवश्यक असलेल्या बायनरी फाइल्सची यादी प्रवाहात परत आली पार, आउटपुट मूल्ये म्हणून इनपुट क्वेरी मिररिंग.

4 दिवसांनंतर, विकासकांनी अपयशाचे स्रोत शोधून काढल्यानंतर आणि लोड-फ्रॉम-सीडब्ल्यूडी-किंवा-एनपीएम अवलंबित्वांमधून वगळण्यासाठी अपडेट रिलीझ करण्याची तयारी करत असताना, हल्लेखोरांनी दुसरे अपडेट जारी केले, लोड-फ्रॉम-सीडब्ल्यूडी-किंवा-एनपीएम 3.0.4, ज्यामध्ये दुर्भावनापूर्ण कोड काढला होता. तथापि, जवळजवळ ताबडतोब, दुसर्या अवलंबित्वाचे अद्यतन, दर-नकाशा 1.0.3, जारी केले गेले, ज्याने एक निराकरण जोडले ज्याने लोडिंगसाठी कॉलबॅक कॉल अवरोधित केला. त्या. दोन्ही प्रकरणांमध्ये, लोड-फ्रॉम-सीडब्ल्यूडी-किंवा-एनपीएम आणि रेट-मॅपच्या नवीन आवृत्त्यांमधील बदल स्पष्ट तोडफोडीच्या स्वरूपाचे होते. शिवाय, दुर्भावनायुक्त कोडमध्ये एक तपासणी होती जी केवळ नवीन देखभालकर्त्यांकडून रिलीझ स्थापित करताना सदोष क्रिया सुरू करते आणि जुन्या आवृत्त्या स्थापित करताना कोणत्याही प्रकारे दिसून येत नाही.

विकसकांनी एक अद्यतन जारी करून समस्येचे निराकरण केले ज्यामध्ये समस्याग्रस्त अवलंबित्व काढून टाकले गेले. PureScript ची समस्याप्रधान आवृत्ती स्थापित करण्याचा प्रयत्न केल्यानंतर वापरकर्ता प्रणालीवर तडजोड केलेला कोड थांबवण्यासाठी, node_modules डिरेक्टरी आणि package-lock.json फाइल्समधील सामग्री हटविण्याची शिफारस केली जाते आणि नंतर प्युअरस्क्रिप्ट आवृत्ती 0.13.2 म्हणून सेट करा. कमी मर्यादा.

स्त्रोत: opennet.ru