PureScript ਇੰਸਟਾਲਰ ਦੇ ਨਾਲ npm ਪੈਕੇਜ ਲਈ ਨਿਰਭਰਤਾ ਵਿੱਚ ਖਤਰਨਾਕ ਤਬਦੀਲੀਆਂ ਖੋਜੀਆਂ ਗਈਆਂ ਹਨ

PureScript ਇੰਸਟਾਲਰ ਦੇ ਨਾਲ npm ਪੈਕੇਜ 'ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ ਪਛਾਣ ਕੀਤੀ ਖਤਰਨਾਕ ਕੋਡ ਜੋ ਪ੍ਰਗਟ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਤੁਸੀਂ ਇੱਕ ਪੈਕੇਜ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹੋ ਸ਼ੁੱਧ ਲਿਖਤ. ਖਤਰਨਾਕ ਕੋਡ ਨਿਰਭਰਤਾ ਦੁਆਰਾ ਏਮਬੇਡ ਕੀਤਾ ਗਿਆ ਹੈ ਲੋਡ-ਤੋਂ-cwd-ਜਾਂ-npm и ਦਰ-ਨਕਸ਼ੇ. ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਇਹਨਾਂ ਨਿਰਭਰਤਾਵਾਂ ਵਾਲੇ ਪੈਕੇਜਾਂ ਦਾ ਰੱਖ-ਰਖਾਅ npm ਪੈਕੇਜ ਦੇ ਮੂਲ ਲੇਖਕ ਦੁਆਰਾ PureScript ਇੰਸਟਾਲਰ ਦੁਆਰਾ ਕੀਤਾ ਜਾਂਦਾ ਹੈ, ਜੋ ਕਿ ਹਾਲ ਹੀ ਵਿੱਚ ਇਸ npm ਪੈਕੇਜ ਦੀ ਸਾਂਭ-ਸੰਭਾਲ ਕਰ ਰਿਹਾ ਸੀ, ਪਰ ਲਗਭਗ ਇੱਕ ਮਹੀਨਾ ਪਹਿਲਾਂ ਪੈਕੇਜ ਨੂੰ ਹੋਰ ਰੱਖ-ਰਖਾਅ ਕਰਨ ਵਾਲਿਆਂ ਨੂੰ ਤਬਦੀਲ ਕਰ ਦਿੱਤਾ ਗਿਆ ਸੀ।

ਸਮੱਸਿਆ ਦਾ ਪਤਾ ਪੈਕੇਜ ਦੇ ਨਵੇਂ ਪ੍ਰਬੰਧਕਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦੁਆਰਾ ਲੱਭਿਆ ਗਿਆ ਸੀ, ਜਿਸ ਨੂੰ ਬਹੁਤ ਸਾਰੇ ਅਸਹਿਮਤੀਆਂ ਅਤੇ ਸ਼ੁੱਧ ਸਕ੍ਰਿਪਟ npm ਪੈਕੇਜ ਦੇ ਮੂਲ ਲੇਖਕ ਨਾਲ ਅਣਸੁਖਾਵੀਂ ਵਿਚਾਰ-ਵਟਾਂਦਰੇ ਤੋਂ ਬਾਅਦ ਰੱਖ-ਰਖਾਅ ਦੇ ਅਧਿਕਾਰ ਤਬਦੀਲ ਕੀਤੇ ਗਏ ਸਨ। ਨਵੇਂ ਮੇਨਟੇਨਰ PureScript ਕੰਪਾਈਲਰ ਲਈ ਜਿੰਮੇਵਾਰ ਹਨ ਅਤੇ ਇਸ ਗੱਲ 'ਤੇ ਜ਼ੋਰ ਦਿੰਦੇ ਹਨ ਕਿ NPM ਪੈਕੇਜ ਅਤੇ ਇਸ ਦੇ ਇੰਸਟੌਲਰ ਨੂੰ ਉਸੇ ਮੇਨਟੇਨਰ ਦੁਆਰਾ ਸੰਭਾਲਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ ਨਾ ਕਿ ਕਿਸੇ ਬਾਹਰੀ ਪਾਰਟੀ ਦੁਆਰਾ। PureScript ਇੰਸਟਾਲਰ ਦੇ ਨਾਲ npm ਪੈਕੇਜ ਦਾ ਲੇਖਕ ਲੰਬੇ ਸਮੇਂ ਲਈ ਸਹਿਮਤ ਨਹੀਂ ਸੀ, ਪਰ ਫਿਰ ਰਿਪੋਜ਼ਟਰੀ ਤੱਕ ਪਹੁੰਚ ਦਿੱਤੀ ਅਤੇ ਟ੍ਰਾਂਸਫਰ ਕੀਤੀ। ਹਾਲਾਂਕਿ, ਕੁਝ ਨਿਰਭਰਤਾ ਉਸਦੇ ਨਿਯੰਤਰਣ ਵਿੱਚ ਰਹੀ।

ਪਿਛਲੇ ਹਫ਼ਤੇ PureScript 0.13.2 ਕੰਪਾਈਲਰ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ ਅਤੇ
ਨਵੇਂ ਰੱਖਿਅਕਾਂ ਨੇ ਇੱਕ ਇੰਸਟਾਲਰ ਨਾਲ npm ਪੈਕੇਜ ਦਾ ਇੱਕ ਅਨੁਸਾਰੀ ਅੱਪਡੇਟ ਤਿਆਰ ਕੀਤਾ, ਜਿਸ ਦੀ ਨਿਰਭਰਤਾ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਸੀ। PureScript ਇੰਸਟੌਲਰ ਦੇ ਨਾਲ npm ਪੈਕੇਜ ਦੇ ਲੇਖਕ, ਜਿਸਨੂੰ ਉਸ ਦੇ ਰੱਖ-ਰਖਾਅ ਦੇ ਅਹੁਦੇ ਤੋਂ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ, ਨੇ ਕਿਹਾ ਕਿ ਉਸਦੇ ਖਾਤੇ ਨਾਲ ਅਣਪਛਾਤੇ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਸਮਝੌਤਾ ਕੀਤਾ ਗਿਆ ਸੀ। ਹਾਲਾਂਕਿ, ਇਸਦੇ ਮੌਜੂਦਾ ਰੂਪ ਵਿੱਚ, ਖਤਰਨਾਕ ਕੋਡ ਦੀਆਂ ਕਾਰਵਾਈਆਂ ਪੈਕੇਜ ਦੀ ਸਥਾਪਨਾ ਨੂੰ ਤੋੜਨ ਤੱਕ ਸੀਮਿਤ ਸਨ, ਜੋ ਕਿ ਨਵੇਂ ਮੇਨਟੇਨਰਾਂ ਤੋਂ ਪਹਿਲਾ ਸੰਸਕਰਣ ਸੀ। ਕਿਸੇ ਵੀ ਸਪੱਸ਼ਟ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਨੂੰ ਕੀਤੇ ਬਿਨਾਂ "npm i -g purescript" ਕਮਾਂਡ ਦੇ ਨਾਲ ਇੱਕ ਪੈਕੇਜ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਸਮੇਂ ਖ਼ਰਾਬ ਕਾਰਵਾਈਆਂ ਇੱਕ ਗਲਤੀ ਸੰਦੇਸ਼ ਦੇ ਨਾਲ ਇੱਕ ਲੂਪ ਦੇ ਰੂਪ ਵਿੱਚ ਹੁੰਦੀਆਂ ਹਨ।

ਦੋ ਹਮਲਿਆਂ ਦਾ ਪਤਾ ਲਗਾਇਆ ਗਿਆ। purescript npm ਪੈਕੇਜ ਦੇ ਨਵੇਂ ਸੰਸਕਰਣ ਦੇ ਅਧਿਕਾਰਤ ਰੀਲੀਜ਼ ਤੋਂ ਕੁਝ ਘੰਟਿਆਂ ਬਾਅਦ, ਕਿਸੇ ਨੇ ਲੋਡ-from-cwd-or-npm 3.0.2 ਨਿਰਭਰਤਾ ਦਾ ਇੱਕ ਨਵਾਂ ਸੰਸਕਰਣ ਬਣਾਇਆ, ਜਿਸ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਕਰਕੇ loadFromCwdOrNpm() ਦੀ ਬਜਾਏ ਕਾਲ ਕੀਤੀ ਗਈ। ਇੰਸਟਾਲੇਸ਼ਨ ਲਈ ਲੋੜੀਂਦੀਆਂ ਬਾਈਨਰੀ ਫਾਈਲਾਂ ਦੀ ਸੂਚੀ ਦੀ ਵਾਪਸੀ ਸਟ੍ਰੀਮ ਉਤਥੌ ਲਂਗਣਾ, ਆਉਟਪੁੱਟ ਮੁੱਲਾਂ ਦੇ ਰੂਪ ਵਿੱਚ ਇੰਪੁੱਟ ਸਵਾਲਾਂ ਨੂੰ ਪ੍ਰਤੀਬਿੰਬਤ ਕਰਨਾ।

4 ਦਿਨਾਂ ਬਾਅਦ, ਜਦੋਂ ਡਿਵੈਲਪਰਾਂ ਨੇ ਅਸਫਲਤਾਵਾਂ ਦੇ ਸਰੋਤ ਦਾ ਪਤਾ ਲਗਾਇਆ ਅਤੇ ਨਿਰਭਰਤਾ ਤੋਂ ਲੋਡ-ਫਰੋਮ-ਸੀਡਬਲਯੂਡੀ-ਜਾਂ-ਐਨਪੀਐਮ ਨੂੰ ਬਾਹਰ ਕੱਢਣ ਲਈ ਇੱਕ ਅਪਡੇਟ ਜਾਰੀ ਕਰਨ ਦੀ ਤਿਆਰੀ ਕਰ ਰਹੇ ਸਨ, ਹਮਲਾਵਰਾਂ ਨੇ ਇੱਕ ਹੋਰ ਅਪਡੇਟ ਜਾਰੀ ਕੀਤਾ, ਲੋਡ-ਫ੍ਰਾਮ-ਸੀਡਬਲਯੂਡੀ-ਜਾਂ-ਐਨਪੀਐਮ 3.0.4, ਜਿਸ ਵਿੱਚ ਖਤਰਨਾਕ ਕੋਡ ਨੂੰ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ। ਹਾਲਾਂਕਿ, ਇੱਕ ਹੋਰ ਨਿਰਭਰਤਾ, ਰੇਟ-ਮੈਪ 1.0.3 ਲਈ ਇੱਕ ਅੱਪਡੇਟ, ਲੋਡ ਕਾਲਬੈਕ ਨੂੰ ਬਲੌਕ ਕਰਨ ਲਈ ਇੱਕ ਫਿਕਸ ਜੋੜਦੇ ਹੋਏ, ਲਗਭਗ ਤੁਰੰਤ ਜਾਰੀ ਕੀਤਾ ਗਿਆ ਸੀ। ਉਹ. ਦੋਵਾਂ ਮਾਮਲਿਆਂ ਵਿੱਚ, ਲੋਡ-ਫਰਮ-ਸੀਡਬਲਯੂਡੀ-ਜਾਂ-ਐਨਪੀਐਮ ਅਤੇ ਰੇਟ-ਨਕਸ਼ੇ ਦੇ ਨਵੇਂ ਸੰਸਕਰਣਾਂ ਵਿੱਚ ਤਬਦੀਲੀਆਂ ਸਪੱਸ਼ਟ ਤੋੜ-ਮਰੋੜ ਦੀ ਪ੍ਰਕਿਰਤੀ ਵਿੱਚ ਸਨ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਖਤਰਨਾਕ ਕੋਡ ਦੀ ਇੱਕ ਜਾਂਚ ਸੀ ਜੋ ਸਿਰਫ ਨਵੇਂ ਮੇਨਟੇਨਰਾਂ ਤੋਂ ਰੀਲੀਜ਼ ਸਥਾਪਤ ਕਰਨ ਵੇਲੇ ਨੁਕਸਦਾਰ ਕਾਰਵਾਈਆਂ ਨੂੰ ਚਾਲੂ ਕਰਦੀ ਹੈ ਅਤੇ ਪੁਰਾਣੇ ਸੰਸਕਰਣਾਂ ਨੂੰ ਸਥਾਪਤ ਕਰਨ ਵੇਲੇ ਕਿਸੇ ਵੀ ਤਰੀਕੇ ਨਾਲ ਦਿਖਾਈ ਨਹੀਂ ਦਿੰਦੀ ਸੀ।

ਡਿਵੈਲਪਰਾਂ ਨੇ ਇੱਕ ਅਪਡੇਟ ਜਾਰੀ ਕਰਕੇ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਕੀਤਾ ਜਿਸ ਵਿੱਚ ਸਮੱਸਿਆ ਵਾਲੀਆਂ ਨਿਰਭਰਤਾਵਾਂ ਨੂੰ ਹਟਾ ਦਿੱਤਾ ਗਿਆ ਸੀ। PureScript ਦੇ ਇੱਕ ਸਮੱਸਿਆ ਵਾਲੇ ਸੰਸਕਰਣ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨ ਤੋਂ ਬਾਅਦ ਉਪਭੋਗਤਾ ਸਿਸਟਮਾਂ 'ਤੇ ਸਮਝੌਤਾ ਕੀਤੇ ਕੋਡ ਨੂੰ ਰੋਕਣ ਲਈ, node_modules ਡਾਇਰੈਕਟਰੀਆਂ ਅਤੇ package-lock.json ਫਾਈਲਾਂ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਹਟਾਉਣ ਦੀ ਸਿਫਾਰਸ਼ ਕੀਤੀ ਜਾਂਦੀ ਹੈ, ਅਤੇ ਫਿਰ pureScript ਸੰਸਕਰਣ 0.13.2 ਨੂੰ ਸੈਟ ਕਰੋ. ਘੱਟ ਸੀਮਾ.

ਸਰੋਤ: opennet.ru