PureScript स्थापनाकर्ताको साथ npm प्याकेजको लागि निर्भरताहरूमा खराब परिवर्तनहरू पत्ता लगाइयो

PureScript स्थापनाकर्ता संग npm प्याकेज मा निर्भर गर्दछ पहिचान गरियो तपाईले प्याकेज स्थापना गर्ने प्रयास गर्दा देखा पर्ने मालिसियस कोड शुद्ध लिपि। दुर्भावनापूर्ण कोड निर्भरता मार्फत इम्बेड गरिएको छ लोड-बाट-cwd-वा-npm и दर-नक्सा। यो उल्लेखनीय छ कि यी निर्भरताहरु संग प्याकेजहरु को मर्मत npm प्याकेज को मूल लेखक PureScript स्थापनाकर्ता संग गरिन्छ, जो हाल सम्म यो npm प्याकेज को रखरखाव गर्दै थियो, तर लगभग एक महिना पहिले प्याकेज अन्य रखरखावकर्ताहरु लाई हस्तान्तरण गरिएको थियो।

समस्या प्याकेजको नयाँ मर्मतकर्ताहरू मध्ये एकले पत्ता लगाएको थियो, जसलाई धेरै असहमति र purescript npm प्याकेजको मूल लेखकसँग अप्रिय छलफल पछि मर्मत अधिकार हस्तान्तरण गरिएको थियो। नयाँ मर्मतकर्ताहरू PureScript कम्पाइलरको लागि जिम्मेवार छन् र NPM प्याकेज र यसको स्थापनाकर्ता एउटै संरक्षकहरूद्वारा मर्मत गर्नुपर्छ र बाहिरी पक्षद्वारा होइन। PureScript स्थापनाकर्तासँग npm प्याकेजको लेखक लामो समय सम्म सहमत भएन, तर त्यसपछि दिए र भण्डारमा पहुँच हस्तान्तरण गरे। यद्यपि, केही निर्भरताहरू उनको नियन्त्रणमा रह्यो।

गत हप्ता PureScript 0.13.2 कम्पाइलर जारी गरिएको थियो र
नयाँ मर्मतकर्ताहरूले स्थापनाकर्तासँग एनपीएम प्याकेजको सम्बन्धित अद्यावधिक तयार गरे, जसको निर्भरतामा दुर्भावनापूर्ण कोड पहिचान गरिएको थियो। PureScript स्थापनाकर्ताको साथ npm प्याकेजको लेखक, जसलाई उनको सेवा प्रबन्धकको पदबाट हटाइयो, उनले भने कि उनको खाता अज्ञात आक्रमणकारीहरूले सम्झौता गरेको थियो। यद्यपि, यसको हालको रूपमा, मालिसियस कोडका कार्यहरू प्याकेजको स्थापनालाई तोडफोड गर्न सीमित थिए, जुन नयाँ मर्मतकर्ताहरूबाट पहिलो संस्करण थियो। कुनै पनि स्पष्ट दुर्भावनापूर्ण गतिविधि प्रदर्शन नगरी "npm i -g purescript" आदेशको साथ प्याकेज स्थापना गर्ने प्रयास गर्दा खराब कार्यहरू त्रुटि सन्देशको साथ लुपमा परिणत हुन्छ।

दुई हमला पत्ता लाग्यो। purescript npm प्याकेजको नयाँ संस्करणको आधिकारिक विमोचन भएको केही घण्टा पछि, कसैले लोड-from-cwd-or-npm 3.0.2 निर्भरताको नयाँ संस्करण सिर्जना गर्‍यो, जसको सट्टामा loadFromCwdOrNpm() लाई कल गर्न निम्त्यायो। स्थापना बाइनरी फाइलहरूको लागि आवश्यक सूचीको स्ट्रिम फर्कियो पास थ्रु, आउटपुट मानहरूको रूपमा इनपुट प्रश्नहरू प्रतिबिम्बित गर्दै।

4 दिन पछि, विकासकर्ताहरूले असफलताको स्रोत पत्ता लगाएपछि र निर्भरताहरूबाट लोड-फ्रम-सीडब्ल्यूडी-वा-एनपीएम बहिष्कार गर्न अपडेट जारी गर्ने तयारी गरिसकेपछि, आक्रमणकारीहरूले अर्को अपडेट जारी गरे, लोड-फ्रोम-सीडब्ल्यूडी-वा-एनपीएम। 3.0.4, जसमा मालिसियस कोड हटाइयो। यद्यपि, लगभग तुरुन्तै अर्को निर्भरता, दर-नक्सा 1.0.3 मा अपडेट जारी गरियो, जसले डाउनलोड कलब्याक ब्लक गर्न फिक्स थप्यो। ती। दुबै अवस्थामा, load-from-cwd-or-npm र दर-नक्साको नयाँ संस्करणहरूमा भएका परिवर्तनहरू स्पष्ट तोडफोडको प्रकृतिमा थिए। यसबाहेक, मालिसियस कोडमा एउटा जाँच थियो जसले नयाँ मर्मतकर्ताहरूबाट रिलीज स्थापना गर्दा मात्र त्रुटिपूर्ण कार्यहरू ट्रिगर गर्छ र पुरानो संस्करणहरू स्थापना गर्दा कुनै पनि तरिकामा देखा पर्दैन।

विकासकर्ताहरूले अपडेट जारी गरेर समस्या समाधान गरे जसमा समस्याग्रस्त निर्भरताहरू हटाइयो। PureScript को समस्याग्रस्त संस्करण स्थापना गर्ने प्रयास गरेपछि प्रयोगकर्ता प्रणालीहरूमा सम्झौता भएको कोडलाई रोक्नको लागि, यो node_modules डाइरेक्टरीहरू र प्याकेज-lock.json फाइलहरूको सामग्रीहरू मेटाउन सिफारिस गरिन्छ, र त्यसपछि purescript संस्करण 0.13.2 सेट गर्नुहोस्। कम सीमा।

स्रोत: opennet.ru