په node-ipc NPM پیکج کې یو ناوړه بدلون (CVE-2022-23812) وموندل شو. دا د ټولو فایلونو مینځپانګې د "❤️" سمبول سره د لیکلو وړ لاسرسي سره د ځای په ځای کولو 25٪ چانس لري. ناوړه کوډ یوازې هغه وخت فعال کیږي کله چې په روسیه یا بیلاروس کې د IP پتې سره سیسټمونو کې چلول کیږي. د node-ipc پیکج په اونۍ کې شاوخوا یو ملیون ځله ډاونلوډ کیږي او د 354 پیکجونو لخوا د انحصار په توګه کارول کیږي، پشمول د vue-cli. ټولې پروژې چې په node-ipc پورې اړه لري هم اغیزمنې کیږي.
دا ناوړه کوډ د نوډ-ipc 10.1.1 او 10.1.2 برخې په توګه د NPM ذخیره کې ځای پر ځای شوی و. دا ناوړه بدلون د پروژې لیکوال په نوم 11 ورځې دمخه د پروژې Git ذخیره ته واستول شو. په کوډ کې د هیواد پیژندنه د api.ipgeolocation.io خدمت ته د لاسرسي له لارې ترسره شوه. هغه کیلي چې د ناوړه داخل څخه د ipgeolocation.io API ته د لاسرسي لپاره کارول کیده اوس لغوه شوې ده.
د مشکوک کوډ په اړه د خبرداري په اړه په تبصرو کې، د پروژې لیکوال ادعا وکړه چې بدلون د ډیسټاپ ته د یوې فایل اضافه کولو په څیر و چې د سولې غوښتنه یې کوله. په حقیقت کې، کوډ د ډایرکټرۍ تکراري ټراورسل ترسره کړ، هڅه یې کوله چې ټولې هغه فایلونه له سره ولیکي چې ورسره مخ شوي وو.
وروسته، نوډ-ipc 11.0.0 او 11.1.0 د NPM ذخیره کې خپاره شول، چې د "peacenotwar" په نوم د بهرني انحصار سره یې ځای په ځای کړ. دا انحصار د ورته لیکوال لخوا کنټرول کیږي او د پیکج ساتونکو ته د شاملولو لپاره وړاندیز کیږي چې غواړي په لاریون کې برخه واخلي. د peacenotwar پیکج ادعا کیږي چې یوازې د سولې پیغام ښیې، مګر د لیکوال لخوا دمخه اخیستل شوي اقداماتو ته په پام سره، د پیکج راتلونکي مینځپانګې غیر متوقع دي او د ویجاړونکي بدلونونو نشتوالی تضمین شوی نه دی.
په ورته وخت کې، د مستحکم نوډ-ipc 9.2.2 څانګې ته تازه معلومات، چې د Vue.js پروژې لخوا کارول کیږي، خپور شو. د peacenotwar سربیره، نوې خپرونې د رنګونو بسته هم د هغې انحصار ته اضافه کړه. د دې لیکوال په جنوري کې په کوډ کې ویجاړونکي بدلونونه مدغم کړل. د نوي خپریدو لپاره د سرچینې کوډ جواز له MIT څخه DBAD ته بدل شو.
څرنګه چې د لیکوال راتلونکي کړنې غیر متوقع دي، نو د نوډ-ipc کاروونکو ته مشوره ورکول کیږي چې خپل انحصارونه د 9.2.1 نسخې سره وتړي. د ورته لیکوال لخوا د نورو پرمختګونو لپاره د نسخو لاک کول هم سپارښتنه کیږي، څوک چې 41 کڅوړې ساتي. د ورته لیکوال لخوا ساتل شوي ځینې کڅوړې (js-queue، easy-stack، js-message، event-pubsub) په اونۍ کې نږدې یو ملیون ځله ډاونلوډ کیږي.
اضافه کول: نورې هڅې چې په مختلفو خلاصو کڅوړو کې عملونه اضافه کړي چې د غوښتنلیکونو مستقیم فعالیت سره تړاو نلري او ورسره تړلي دي IP پتې یا د سیسټم ځای. د دې بدلونونو تر ټولو بې ضرره برخه (es5-ext، rete، PHP کمپوزر، PHPUnit، Redis Desktop Manager، Awesome Prometheus Alerts، verdaccio، filestash) په روسیه او بیلاروس کې د کاروونکو لپاره د جګړې پای ته رسولو لپاره د زنګونو ښودلو پورې اړه لري. په هرصورت، ډیر خطرناک څرګندونې هم پیژندل شوي، لکه د AWS Terraform ماډلونو کې د ransomware اضافه کول او په جواز کې سیاسي محدودیتونه اضافه کول. د ESP8266 او ESP32 وسیلو لپاره د Tasmota فرم ویئر یو شاته دروازه لري چې د وسیلې عملیات بندولو توان لري. داسې انګیرل کیږي چې دا ډول فعالیت په خلاصې سرچینې سافټویر کې باور په جدي توګه کمزوری کوي.
سرچینه: opennet.ru
