node-ipc NPM පැකේජයේ ද්වේශ සහගත වෙනසක් (CVE-2022-23812) අනාවරණය විය. සියලුම ගොනු වල අන්තර්ගතය "❤️" සංකේතය සමඟ ලිවිය හැකි ප්රවේශය සමඟ ප්රතිස්ථාපනය කිරීමට එයට 25% ක අවස්ථාවක් ඇත. රුසියාවේ හෝ බෙලරුසියාවේ IP ලිපින සහිත පද්ධති මත ධාවනය වන විට පමණක් ද්වේශ සහගත කේතය සක්රිය වේ. node-ipc පැකේජය සතියකට ආසන්න වශයෙන් මිලියනයක වාරයක් බාගත කර ඇති අතර vue-cli ඇතුළුව පැකේජ 354 ක් මගින් යැපීමක් ලෙස භාවිතා කරයි. node-ipc මත යැපෙන සියලුම ව්යාපෘති ද බලපායි.
node-ipc 10.1.1 සහ 10.1.2 හි කොටසක් ලෙස අනිෂ්ට කේතය NPM ගබඩාවට යොදවා ඇත. ද්වේෂසහගත වෙනස ව්යාපෘති කර්තෘගේ නම යටතේ දින 11 කට පෙර ව්යාපෘතියේ Git ගබඩාවට තල්ලු කරන ලදී. කේතයේ රට හඳුනාගැනීම api.ipgeolocation.io සේවාවට ප්රවේශ වීමෙන් සිදු කරන ලදී. ද්වේෂසහගත ඇතුළු කිරීමෙන් ipgeolocation.io API වෙත ප්රවේශ වීමට භාවිතා කළ යතුර දැන් අවලංගු කර ඇත.
සැක සහිත කේතය පිළිබඳ අනතුරු ඇඟවීමට අදහස් දැක්වීමේදී, ව්යාපෘතියේ කතුවරයා කියා සිටියේ මෙම වෙනස සාමය ඉල්ලා සිටින පණිවිඩයක් පෙන්වන ගොනුවක් ඩෙස්ක්ටොප් එකට එක් කිරීමක් බවයි. යථාර්ථයේ දී, කේතය පුනරාවර්තන නාමාවලි සංක්රමණයක් සිදු කළ අතර, හමු වූ සියලුම ගොනු උඩින් ලිවීමට උත්සාහ කළේය.
පසුව, node-ipc 11.0.0 සහ 11.1.0 NPM ගබඩාවට නිකුත් කරන ලද අතර, එම්බෙඩඩ් අනිෂ්ට කේතය "peacenotwar" ලෙස හඳුන්වන බාහිර යැපීමක් සමඟ ප්රතිස්ථාපනය කරන ලදී. මෙම යැපීම එකම කතුවරයා විසින් පාලනය කරනු ලබන අතර විරෝධතාවයට සම්බන්ධ වීමට කැමති පැකේජ නඩත්තු කරන්නන්ට ඇතුළත් කිරීම සඳහා පිරිනමනු ලැබේ. peacenotwar පැකේජය සාම පණිවිඩයක් පමණක් පෙන්වන බව ප්රකාශ කර ඇත, නමුත් කතුවරයා විසින් දැනටමත් ගෙන ඇති ක්රියාමාර්ග සැලකිල්ලට ගෙන, පැකේජයේ අනාගත අන්තර්ගතය අනපේක්ෂිත වන අතර විනාශකාරී වෙනස්කම් නොමැති වීම සහතික නොවේ.
ඒ සමඟම, Vue.js ව්යාපෘතිය විසින් භාවිතා කරන ස්ථාවර node-ipc 9.2.2 ශාඛාවට යාවත්කාලීන කිරීමක් නිකුත් කරන ලදී. peacenotwar ට අමතරව, නව නිකුතුව එහි පරායත්තතා වලට වර්ණ පැකේජය ද එක් කළේය. එහි කතුවරයා ජනවාරි මාසයේදී කේතයට විනාශකාරී වෙනස්කම් ඒකාබද්ධ කළේය. නව නිකුතුව සඳහා මූලාශ්ර කේත බලපත්රය MIT සිට DBAD දක්වා වෙනස් කරන ලදී.
කර්තෘගේ අනාගත ක්රියාමාර්ග අනපේක්ෂිත බැවින්, node-ipc පරිශීලකයින්ට ඔවුන්ගේ යැපීම් 9.2.1 අනුවාදයට අගුළු දැමීමට උපදෙස් දෙනු ලැබේ. පැකේජ 41ක් නඩත්තු කරන එම කර්තෘ විසින්ම අනෙකුත් සංවර්ධන සඳහා අනුවාද අගුළු දැමීම ද නිර්දේශ කරනු ලැබේ. එකම කර්තෘ විසින් නඩත්තු කරන ලද සමහර පැකේජ (js-queue, easy-stack, js-message, event-pubsub) සතියකට ආසන්න වශයෙන් මිලියන වාරයක් බාගත කරනු ලැබේ.
එකතු කිරීම: යෙදුම්වල සෘජු ක්රියාකාරීත්වයට සම්බන්ධ නොවන සහ බැඳී ඇති විවිධ විවෘත පැකේජ වලට ක්රියා එකතු කිරීමට වෙනත් උත්සාහයන් IP ලිපින හෝ පද්ධති ස්ථානය. මෙම වෙනස්කම් වලින් වඩාත්ම අහිංසක (es5-ext, rete, PHP composer, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) රුසියාවේ සහ බෙලරුස් හි පරිශීලකයින් සඳහා යුද්ධය අවසන් කිරීම සඳහා ඇමතුම් පෙන්වීම දක්වා පැමිණේ. කෙසේ වෙතත්, AWS Terraform මොඩියුලවලට එකතු කරන ලද ransomware සහ බලපත්රයට එකතු කරන ලද දේශපාලන සීමාවන් වැනි වඩාත් භයානක ප්රකාශනයන් ද හඳුනාගෙන ඇත. ESP8266 සහ ESP32 උපාංග සඳහා වන Tasmota ස්ථිරාංගයේ උපාංග අවහිර කළ හැකි පසුපස දොරක් අඩංගු වේ. එවැනි ක්රියාකාරකම් විවෘත මූලාශ්ර මෘදුකාංග කෙරෙහි ඇති විශ්වාසය බරපතල ලෙස අඩපණ කරන බව විශ්වාස කෙරේ.
මූලාශ්රය: opennet.ru
