ืื ื ืึธืืข-ื ืขืืืึทืกืง NPM ืคึผืขืงื, ืืืึธืก ืืื ืืืขืื 3 ืืืืืึธื ืืึทืื ืืึธืืื ืคึผืขืจ ืืืึธื ืืื ืืื ืืขื ืืฆื ืืื ืึท ืืขืคึผืขื ืืขื ืกื ืืืืฃ ืืขืจ ืืื 270 ืืืืื ื ืคึผืจืึทืืืฉืขืงืก ืืืืฃ GitHub, ืืื ืึท ืืืึทืื ืขืจืึทืืืืืื (CVE-2021-28918) ืืืึธืก ืึทืืึทืื ืขืก ืฆื ืืืืคึผืึทืก ืืฉืขืงืก ืืืึธืก ื ืืฆื ืื ื ืขืืืึทืกืง. ืฆื ืืึทืฉืืืืขื ืื ืคึผืึทืกืืจืื ื ืฆื ืึทืืจืขืก ืจืืื ืืืฉืึทื ืึธืืขืจ ืคึฟืึทืจ ืคึฟืืืืจืืจืื ื. ืื ืึทืจืืืกืืขืื ืืื ืคืึทืจืคืขืกืืืงื ืืื ืื ืืขืืืื ื ืคืื ื ืึธืืข-ื ืขืืืึทืกืง 2.0.0.
ืื ืืืึทืื ืขืจืึทืืืืืื ืืืื ืขืก ืืขืืืขื ืฆื ืืืึทืื ืึท ืคืื ืืจืืืกื ืืืง IP ืึทืืจืขืก ืืื ืึทื ืึทืืจืขืก ืคืื ืื ืื ืขืจืืขื ื ืขืฅ ืืื ืืืืฆืข ืืืขืจืกืึท, ืืื ืืื ืึท ืืืืขืจ ืืึธืืืง ืคืื ื ืืฆื ืื ื ืึธืืข-ื ืขืืืึทืกืง ืืึธืืืืข ืืื ืื ืึทืคึผืืึทืงืืืฉืึทื ืฆื ืืืจืืคืืจื SSRF (ืกืขืจืืืขืจ-ืืืึทื ืืขืื ืคืึธืจืืืฉืขืจื), RFI. (ืจืืืึธืื ืืขืงืข ืื ืงืืืืฉืึทื) ืืื ืืคื (ืืึธืงืึทื ืืขืงืข ืื ืงืืืืฉืึทื) ืื ืคืืื) ืฆื ืึทืงืกืขืก ืจืขืกืืจืกื ืืืืฃ ืื ืื ืขืจืืขื ื ืขืฅ ืืื ืึทืจืืึทื ื ืขืืขื ืคืื ืืจืืืกื ืืืง ืึธืืขืจ ืืืืข ืืขืงืขืก ืืื ืืขืจ ืืืจืืคืืจืื ื ืงืืื. ืืขืจ ืคึผืจืึธืืืขื ืืื ืึทื ืืืื ืื ืกืคึผืขืกืืคืืงืึทืืืึธื, ืึทืืจืขืก ืฉืืจืืงื ืืืึทืืืขืก ืกืืึทืจืืื ื ืืื ืึท ื ืื ืืึธื ืืืื ืื ืืขืจืคึผืจืึทืืึทื ืืื ืึธืงืืึทื ื ืืืขืจื, ืึธืืขืจ ืื ื ืึธืืข-ื ืขืืืึทืกืง ืืึธืืืืข ืืื ื ืืฉื ื ืขืืขื ืืขื ืืื ืืฉืืื ืืื ืืจืืฅ ืืื ืืื ืืขืฆืืืึทื ื ืืืขืจื.
ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืึท ืึทืืึทืงืขืจ ืงืขื ืืขืื ืึท ืืืืข ืืืื ืืืจื ืกืคึผืขืฆืืคืืฆืืจื ืื ืืืขืจื "0177.0.0.1", ืืืึธืก ืงืึธืจืึทืกืคึผืึทื ืื ืฆื "127.0.0.1", ืึธืืขืจ ืื "ื ืึธืืข-ื ืขืืืึทืกืง" ืืึธืืืืข ืืืขื ืึทืืืขืงืืืึทืจืคื ืื ื ืึทื ืืื ืืืึทืื 0177.0.0.1 โณ ืืื " 177.0.0.1", ืืืึธืก ืืื ืื ืึทืคึผืืึทืงืืืฉืึทื ืืืขื ืขืืืึทืืืึทืืื ื ืึทืงืกืขืก ืึผืืืื, ืขืก ืืืขื ื ืื ืืืื ืืขืืืขื ืฆื ืืึทืฉืืืืขื ืื ืืืืขื ืืืืขื ืืื "127.0.0.1". ืกืืืืืึทืจืื, ืึท ืึทืืึทืงืขืจ ืงืขื ืขื ืกืคึผืขืฆืืคืืฆืืจื ืื ืึทืืจืขืก "0127.0.0.1", ืืืึธืก ืืึธื ืืืื ืืืืขื ืืงืึทื ืฆื "87.0.0.1", ืึธืืขืจ ืืืขื ืืืื ืืืืื ืืื ืืื "127.0.0.1" ืืื ืื "ื ืึธืืข-ื ืขืืืึทืกืง" ืืึธืืืืข. ืกืืืืืึทืจืื, ืืืจ ืงืขื ืขื ืึธืคึผื ืึทืจื ืื ืืฉืขืง ืคึฟืึทืจ ืึทืงืกืขืก ืฆื ืื ืืจืึทื ืขื ืึทืืจืขืกืขืก ืืืจื ืกืคึผืขืฆืืคืืฆืืจื ืืืึทืืืขืก ืืื "012.0.0.1" (ืขืงืืืืืืึทืืขื ื ืฆื "10.0.0.1", ืึธืืขืจ ืืืขื ืืืื ืคึผืจืึทืกืขืกื ืืื 12.0.0.1 ืืขืฉืึทืก ืืฉืขืง).
ืื ืจืืกืขืจืืฉืขืจื ืืืืก ืืืืขื ืึทืคืืื ืื ืคึผืจืึธืืืขื ืจืืคื ืืขื ืคึผืจืึธืืืขื ืงืึทืืึทืกืืจืึธืคืืง ืืื ืฆืืฉืืขืื ืขืืืขืืข ืืึทืคืึทืื ืกืื ืขืจืืึธืื, ืึธืืขืจ ืจืืึฟ ืคืื ืืื ืงืืงื ืกืคึผืขืงืืืึทืืืืืข. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืขืก ืจืขืื ืืืขืื ืื ืืขืืืขืืงืืื ืคืื ืึทืืึทืงืื ื ืึท Node.js-ืืืืืจื ืึทืคึผืืึทืงืืืฉืึทื ืึทื ืืกืืึทืืืืฉืื ืคืื ืืจืืืกื ืืืง ืงืึทื ืขืงืฉืึทื ื ืฆื ืืขืื ืึท ืืืื ืืืืืจื ืืืืฃ ืื ืคึผืึทืจืึทืืขืืขืจืก ืึธืืขืจ ืืึทืื ืคืื ืื ืึทืจืืึทื ืฉืจืืึทื ืืขืื, ืึธืืขืจ ืื ืึทืคึผืืึทืงืืืฉืึทื ืืื ื ืืฉื ืกืคึผืึทืกืืคืืงืื ืืขืืืืกื ืึธืืขืจ ืืืืืืื. ืืคืืื ืืืื ืืืจ ืืขืคึฟืื ืขื ืึทืคึผืืึทืงืืืฉืึทื ื ืืืึธืก ืืึธืื ืจืขืกืืจืกื ืืืืืจื ืืืืฃ ืื ืืจืืื IP ืึทืืจืขืกืขืก, ืขืก ืืื ื ืืฉื ืืึธืจ ืงืืึธืจ ืืื ืื ืืืึทืื ืขืจืึทืืืืืื ืงืขื ืขื ืืืื ืขืงืกืคึผืืืืืึทื ืืื ืคืืจ ืึธื ืงืึทื ืขืงืืื ื ืฆื ืึท ืืืืข ื ืขืฅ ืึธืืขืจ ืึธื ืงืึธื ืืจืึธื ืคืื "ืฉืคึผืืื" IP ืึทืืจืขืกืขืก.
ืื ืจืืกืขืจืืฉืขืจื ื ืึธืจ ืืืขืจื ืขืืขื ืึทื ืึธืื ืขืจื ืคืื 87.0.0.1 (Telecom Italia) ืืื 0177.0.0.1 (Brasil Telecom) ืืขื ืขื ืืืืืืช ืฆื ืืืืคึผืึทืก ืื ืึทืงืกืขืก ืจืืกืืจืืงืฉืึทื ืฆื 127.0.0.1. ื ืืขืจ ืจืขืึทืืืกืืืฉ ืกืฆืขื ืึทืจ ืืื ืฆื ืืืืืจืข ืื ืืืึทืื ืขืจืึทืืืืืื ืฆื ืืืืคึผืึทืก ืคืึทืจืฉืืื ืึทืคึผืืึทืงืืืฉืึทื ืืืึทื ืืืึธืง ืจืฉืืืืช. ืื ืึทืจืืืกืืขืื ืงืขื ืขื ืืืื ืืืื ืืขืืืขื ืื ืฆื ืืืืื ืื ืืขืคึฟืื ืืฆืืข ืคืื โโืื ืืจืึทื ืขื ืจืืื ืืืฉืึทื ืืื ืื NPM ืืึธืืืืข "ืคึผืจืืืืึทื-ืืคึผ".
ืืงืืจ: opennet.ru