नोड-आईपीसी NPM प्याकेजमा एक खराब परिवर्तन गरिएको छ जसले रूस र बेलारुसमा प्रणालीहरूमा फाइलहरू मेटाउँछ।

नोड-ipc NPM प्याकेज (CVE-2022-23812) मा एक खराब परिवर्तन पत्ता लगाइएको थियो, 25% सम्भाव्यताको साथ सबै फाइलहरूको सामग्रीहरू जसमा लेख्ने पहुँच छ "❤️" क्यारेक्टरसँग प्रतिस्थापन गरिएको छ। रूस वा बेलारूसबाट आईपी ठेगानाहरू भएका प्रणालीहरूमा सुरू गर्दा मात्र मालिसियस कोड सक्रिय हुन्छ। नोड-आईपीसी प्याकेजमा प्रति हप्ता लगभग एक मिलियन डाउनलोडहरू छन् र vue-cli सहित 354 प्याकेजहरूमा निर्भरताको रूपमा प्रयोग गरिन्छ। निर्भरताको रूपमा नोड-आईपीसी भएका सबै परियोजनाहरू पनि समस्याबाट प्रभावित छन्।

नोड-ipc 10.1.1 र 10.1.2 रिलीजहरूको भागको रूपमा NPM भण्डारमा मालिसियस कोड पोस्ट गरिएको थियो। 11 दिन पहिले परियोजनाको लेखकको तर्फबाट परियोजनाको Git भण्डारमा खराब परिवर्तन पोस्ट गरिएको थियो। api.ipgeolocation.io सेवामा कल गरेर देश कोडमा निर्धारण गरिएको थियो। दुर्भावनापूर्ण इम्बेडबाट ipgeolocation.io API मा पहुँच गरिएको कुञ्जी अब रद्द गरिएको छ।

संदिग्ध कोडको उपस्थितिको बारेमा चेतावनीको लागि टिप्पणीहरूमा, परियोजनाका लेखकले भने कि परिवर्तनले डेस्कटपमा फाइल थप्न बराबर हो जसले शान्तिको लागि आह्वान गर्ने सन्देश देखाउँदछ। वास्तवमा, कोडले सामना गरिएका सबै फाइलहरू अधिलेखन गर्ने प्रयासको साथ डाइरेक्टरीहरूको पुनरावर्ती खोजी गर्यो।

नोड-आईपीसी 11.0.0 र 11.1.0 को रिलीजहरू पछि NPM भण्डारमा पोस्ट गरियो, जसले बिल्ट-इन मालिसियस कोडलाई बाह्य निर्भरता, "पीसनोटवार" को साथ बदल्यो, उही लेखकद्वारा नियन्त्रित र प्याकेज मर्मतकर्ताहरू द्वारा समावेशको लागि प्रस्ताव गरियो। आन्दोलनमा सामेल हुन। यो भनिएको छ कि शान्तिनोटवार प्याकेजले शान्तिको बारेमा सन्देश मात्र प्रदर्शन गर्दछ, तर लेखकले पहिले नै गरेका कार्यहरूलाई ध्यानमा राख्दै, प्याकेजको थप सामग्रीहरू अप्रत्याशित छन् र विनाशकारी परिवर्तनहरूको अनुपस्थितिको ग्यारेन्टी छैन।

एकै समयमा, स्थिर नोड-आईपीसी 9.2.2 शाखाको अद्यावधिक, जुन Vue.js परियोजनाद्वारा प्रयोग गरिन्छ, जारी गरिएको थियो। नयाँ रिलीजमा, शान्तिनोटवारको अतिरिक्त, रङ प्याकेज पनि निर्भरताहरूको सूचीमा थपिएको थियो, जसको लेखकले जनवरीमा कोडमा विनाशकारी परिवर्तनहरू एकीकृत गर्यो। नयाँ रिलीजको लागि स्रोत इजाजतपत्र MIT बाट DBAD मा परिवर्तन गरिएको छ।

लेखकको थप कार्यहरू अप्रत्याशित भएकाले, node-ipc प्रयोगकर्ताहरूलाई संस्करण 9.2.1 मा निर्भरताहरू ठीक गर्न सिफारिस गरिन्छ। 41 प्याकेजहरू राख्ने एउटै लेखकद्वारा अन्य विकासका लागि संस्करणहरू ठीक गर्न पनि सिफारिस गरिन्छ। एउटै लेखकद्वारा राखिएका केही प्याकेजहरू (js-queue, easy-stack, js-message, event-pubsub) प्रति हप्ता करिब एक मिलियन डाउनलोडहरू छन्।

थप: अन्य प्रयासहरू विभिन्न खुला प्याकेजहरूमा कार्यहरू थप्न रेकर्ड गरिएको छ जुन अनुप्रयोगहरूको प्रत्यक्ष कार्यक्षमतासँग सम्बन्धित छैन र IP ठेगानाहरू वा प्रणाली लोकेलसँग जोडिएको छ। यी परिवर्तनहरू मध्ये सबैभन्दा हानिरहित (es5-ext, rete, PHP कम्पोजर, PHPUnit, Redis डेस्कटप प्रबन्धक, Awesome Prometheus Alerts, verdaccio, filestash) रूस र बेलारुसका प्रयोगकर्ताहरूको लागि युद्ध समाप्त गर्न कलहरू प्रदर्शन गर्न उमालेर। एकै समयमा, थप खतरनाक अभिव्यक्तिहरू पनि पहिचान गरिएका छन्, उदाहरणका लागि, एन्क्रिप्टर AWS Terraform मोड्युल प्याकेजहरूमा थपियो र इजाजतपत्रमा राजनीतिक प्रतिबन्धहरू पेश गरियो। ESP8266 र ESP32 यन्त्रहरूको लागि Tasmota फर्मवेयरमा निर्मित बुकमार्क छ जसले यन्त्रहरूको सञ्चालनलाई रोक्न सक्छ। यस्तो गतिविधिले खुला स्रोत सफ्टवेयरमा विश्वासलाई गम्भीर रूपमा कमजोर पार्न सक्छ भन्ने विश्वास गरिन्छ।

स्रोत: opennet.ru