Mga Administrator ng Imbakan ng NPM pakete , kung saan may nakitang malisyosong insert. Ang malisyosong pakete ay nanatiling hindi natukoy mula noong Agosto noong nakaraang taon. Sa panahon ng taon, ang mga umaatake ay nakapaglabas ng 7 bagong bersyon, na na-download nang humigit-kumulang 200 beses.
Kapag nag-install ng package, isang executable file para sa Windows ang inilunsad, na naglilipat ng kumpidensyal na impormasyon sa isang panlabas na host. Ang mga user na nag-install ng package ay pinapayuhan na agarang baguhin ang lahat ng encryption key at account sa system, at i-scan din ang system para sa presensya ng mga backdoor na iniwan ng mga attacker (ang pag-alis ng package mula sa system ay hindi ginagarantiyahan ang pag-alis ng malware na nauugnay sa ito).
Bilang karagdagan, maaari mong tandaan mga update sa manager ng package , simula sa kung saan ang mga file na pagmamay-ari ng root user ay maaari lamang gawin sa mga direktoryo na pagmamay-ari ng root (pinagbabawal ang paglalagay ng mga naturang file sa mga direktoryo ng mga ordinaryong user). Inaayos din ng bagong bersyon ang isang problema na nagdudulot ng pag-crash kung ang opsyong "--user" ay tumutukoy sa isang hindi umiiral na user (isang problema na kadalasang nararanasan ng mga user ng Docker). Ang "npm ci" ay nagbibigay ng ganap na access sa lahat ng value ng mga setting ng npm.
Pinagmulan: opennet.ru