Det har upptäckts skadliga ändringar i beroenden till npm-paketet med installatören PureScript

I beroende av npm-paketet med PureScript-installationsprogrammet har identifierats skadlig kod som uppträder vid installation av paketet purescript. Skadlig kod är inbyggd genom beroenden load-from-cwd-or-npm och rate-map. Det är värt att notera att paket med dessa beroenden hanteras av den ursprungliga författaren av npm-paketet med PureScript-installationsprogrammet, som tidigare ansvarade för detta npm-paket, men för ungefär en månad sedan övergick paketet till andra underhållare.

Problemet upptäcktes av en av de nya huvudansvariga för paketet, vars rättigheter till underhåll överfördes efter många oenigheter och obehagliga diskussioner med den ursprungliga författaren av npm-paketet purescript. De nya huvudansvariga ansvarar för PureScript-kompilatorn och insisterade på att npm-paketet med dess installationsprogram skulle underhållas av samma underhållare, och inte av en utomstående. Författaren till npm-paketet med PureScript-installationsprogrammet tveka länge men gav sedan efter och överlämnade åtkomsten till repot. Vissa beroenden förblev under hans kontroll.

Förra veckan släpptes version 0.13.2 av PureScript-kompilatorn och
de nya underhållarna förberedde en uppdatering av npm-paketet med installationsprogrammet, i beroenden av vilket skadlig kod hade upptäckts. Den avsatte författaren till npm-paketet med PureScript-installationsprogrammet hävdade att hans konto hade blivit komprometterat av obekanta angripare. Ändå var skadlig kod i sin nuvarande form begränsad till att sabotera installationen av paketet, som blev den första versionen från de nya underhållarna. De skadliga åtgärderna begränsade sig till att orsaka en oändlig loop med felmeddelanden vid försök att installera paketet med kommandot "npm i -g purescript" utan att utföra någon uppenbar skadlig aktivitet.

Två attacker har upptäckts. Några timmar efter den officiella utgåvan av den nya versionen av npm-paketet purescript skapade någon en ny version av beroendet load-from-cwd-or-npm 3.0.2, där ändringar ledde till att anropet loadFromCwdOrNpm() istället för en lista över nödvändiga binära filer för installation returnerade en ström PassThrough, som speglade inkommande förfrågningar som utgående värden.

Efter 4 dagar, när utvecklarna hade förstått orsaken till felen och förberett sig för att släppa en uppdatering för att exkludera load-from-cwd-or-npm från beroendena, släppte angriparna en ny version av load-from-cwd-or-npm 3.0.4, där den skadliga koden hade tagits bort. Nästan omedelbart släpptes också en uppdatering av ett annat beroende, rate-map 1.0.3, där en fix lades till som blockerade callback-anrop för inläsning. Det vill säga, i båda fallen var förändringarna i de nya versionerna av load-from-cwd-or-npm och rate-map tydligt en sabotageåtgärd. Dessutom fanns det en kontroll i den skadliga koden som aktiverade felaktiga handlingar bara vid installation av release från de nya underhållarna och visade sig inte vid installation av gamla versioner.

Utvecklarna löste problemet genom att släppa en uppdatering där de problematiska beroendena hade tagits bort. För att undvika att komprometterad kod stannar kvar på användarnas system efter installationen av den problematiska versionen rekommenderas att ta bort innehållet i katalogerna node_modules och filerna package-lock.json, och sedan sätta versionsgränsen till purescript 0.13.2.

Källa: opennet.ru