பயனர் தரவை அனுப்பும் NPM களஞ்சியத்தில் நான்கு தொகுப்புகள் அடையாளம் காணப்பட்டன

NPM களஞ்சியத்தில் அடையாளம் காணப்பட்டது முன் நிறுவல் ஸ்கிரிப்ட் உட்பட நான்கு தொகுப்புகளில் தீங்கிழைக்கும் செயல்பாடு, தொகுப்பை நிறுவும் முன், பயனரின் IP முகவரி, இருப்பிடம், உள்நுழைவு, CPU மாதிரி மற்றும் முகப்பு அடைவு பற்றிய தகவலுடன் GitHub க்கு ஒரு கருத்தை அனுப்பியது. பொதிகளில் தீங்கிழைக்கும் குறியீடு கண்டறியப்பட்டது தேர்தல் நடத்துபவர் (255 பதிவிறக்கங்கள்), லோடாஷ்கள் (78 பதிவிறக்கங்கள்), loadyaml (48 பதிவிறக்கங்கள்) மற்றும் loadyml (37 பதிவிறக்கங்கள்).

பயன்பாட்டிற்காக ஆகஸ்ட் 17 முதல் ஆகஸ்ட் 24 வரை சிக்கல் தொகுப்புகள் NPM இல் வெளியிடப்பட்டன வகை குவாட்டிங், அதாவது பெயரைத் தட்டச்சு செய்யும் போது பயனர் எழுத்துப் பிழையைச் செய்வார் அல்லது பட்டியலிலிருந்து ஒரு தொகுதியைத் தேர்ந்தெடுக்கும்போது வேறுபாடுகளைக் கவனிக்க மாட்டார் என்ற எதிர்பார்ப்புடன், பிற பிரபலமான நூலகங்களின் பெயர்களைப் போன்ற பெயர்களை வழங்குவதன் மூலம். பதிவிறக்கங்களின் எண்ணிக்கையால் ஆராயும்போது, ​​சுமார் 400 பயனர்கள் இந்த தந்திரத்தில் விழுந்தனர், அவர்களில் பெரும்பாலோர் எலக்ட்ரானுடன் எலக்ட்ரானைக் குழப்பினர். தற்போது எலெக்ட்ரான் மற்றும் லோடியம்ல் தொகுப்புகள் ஏற்கனவே அகற்றப்பட்டது NPM நிர்வாகத்தால், lodashs மற்றும் loadyml தொகுப்புகள் ஆசிரியரால் அகற்றப்பட்டன.

தாக்குபவர்களின் நோக்கங்கள் தெரியவில்லை, ஆனால் GitHub மூலம் தகவல் கசிவு (கருத்து வெளியீடு மூலம் அனுப்பப்பட்டது மற்றும் XNUMX மணி நேரத்திற்குள் நீக்கப்பட்டது) முறையின் செயல்திறனை மதிப்பிடுவதற்கான பரிசோதனையின் போது மேற்கொள்ளப்பட்டிருக்கலாம் என்று கருதப்படுகிறது. தாக்குதல் பல கட்டங்களில் திட்டமிடப்பட்டது, அதில் முதலில் பாதிக்கப்பட்டவர்களின் தரவு சேகரிக்கப்பட்டது, இரண்டாவது, தடுப்பதன் காரணமாக செயல்படுத்தப்படவில்லை, தாக்குபவர்கள் மிகவும் ஆபத்தான தீங்கிழைக்கும் குறியீடு அல்லது பின்கதவை உள்ளடக்கிய ஒரு புதுப்பிப்பை வெளியிட விரும்பினர். புதிய வெளியீடு.

ஆதாரம்: opennet.ru