В NPM-пакет node-ipc внесено вредоносное изменение, удаляющее файлы на системах в России и Беларуси

отметили
32
человека
в архиве

В NPM-пакете node-ipc выявлено вредоносное изменение (CVE-2022-23812), с вероятностью 25% заменяющее на символ "❤️" содержимое всех файлов, к которым имеется доступ на запись. Вредоносный код активируется только при запуске на системах с IP-адресами из России или Беларуси. Пакет node-ipc насчитывает около миллиона загрузок в неделю и используется в качестве зависимости у 354 пакетов, включая vue-cli. Все проекты, которые имеют в зависимостях node-ipc, также подвержены проблеме.

Вредоносный код был размещён в репозитории NPM в составе выпусков node-ipc 10.1.1 и 10.1.2. В Git-репозитории проекта вредоносное изменение было размещено от имени автора проекта 11 дней назад. Определение страны в коде осуществлялось через обращение к сервису api.ipgeolocation.io. В настоящее время ключ, к которому осуществлялся доступ к API ipgeolocation.io из вредоносной вставки, отозван.

В комментариях к предупреждению о появлении сомнительного кода автор проекта заявил, что изменение сводятся к добавлению файла на рабочий стол, выводящего сообщение с призывом к миру. На деле в коде осуществлялся рекурсивный перебор каталогов с попыткой перезаписи всех встретившихся файлов.

Позднее в репозитории NPM были размещены выпуски node-ipc 11.0.0 и 11.1.0, в которых вместо встроенного вредоносного кода добавлена внешняя зависимость «peacenotwar», контролируемая тем же автором и предлагаемая для подключения сопровождающим пакетов, желающим присоединиться к протесту. Заявляется, что пакет peacenotwar лишь выводит сообщение о мире, но с учётом уже предпринятых автором действий дальнейшее содержимое пакета непредсказуемо и отсутствие деструктивных изменений не гарантируется.

Параллельно было выпущено обновление стабильной ветки node-ipc 9.2.2, которая используется проектом Vue.js. В новом выпуске в число зависимостей, помимо peacenotwar, также был добавлен пакет colors, автор которого в январе интегрировал в код деструктивные изменения. Лицензия на исходные тексты в новом выпуске была изменена с MIT на DBAD.

Так как дальнейшие действия автора непредсказуемы, пользователям node-ipc рекомендуется зафиксировать зависимости на версии 9.2.1. Зафиксировать версии также рекомендуется и для остальных разработок того же автора, который сопровождал 41 пакет. Некоторые из поддерживаемых тем же автором пакетов (js-queue, easy-stack, js-message, event-pubsub) имеют около миллиона загрузок в неделю.

Дополнение: фиксируются и другие попытки добавления в различные открытые пакеты действий, не связанных с прямой функциональностью приложений и привязанных к IP-адресам или системной локали. Наиболее безобидные из подобных изменений (es5-ext, rete, PHP composer, PHPUnit, Redis Desktop Manager, Awesome Prometheus Alerts, verdaccio, filestash) сводятся к выводу призывов к прекращению войны для пользователей из России и Беларуси. При этом выявляются и более опасные проявления, например, в пакеты AWS Terraform modules добавлен шифровальщик и внесены политические ограничения в лицензию. В прошивки Tasmota для устройств ESP8266 и ESP32 встроена закладка, способная блокировать работу устройств. Предполагается, что подобная активность может серьёзно подорвать доверие к открытому ПО.

Добавил X86 X86 18 Марта 2022
проблема (2)
Комментарии участников:
X86
+6
X86, 18 Марта 2022 , url

Американский опенсорс выступает ровно за то же самое, за что выступает американский телевизор.

aketi1
-12
aketi1 [вечный бан], 18 Марта 2022 , url
Комментарий удален
KsRus
+3
KsRus, 19 Марта 2022 , url

Им промывают мозг целенаправлено через Ютуб, Фейсбук и прочей хрени, отрезая людей от альтернативной информации и накачивая односторонней повесткой. Так что там промыто очень всё хрошо, и телевизоров не надо.

X86
+6
X86, 19 Марта 2022 , url

Средства массовой информации США — совокупность СМИ в Соединённых Штатах Америки.

СМИ США отличаются высокой степенью монополизированности. Так, если в 1880 г. 61 % всех городских ежедневных газет в США имели конкурентов в своем городе, то в 1930 — 21 %, в 1940 г. — 13 %, в середине 1970-х гг. — всего 3 %. К концу прошлого столетия только в 15 городах США выходили газеты, имеющие хотя бы формального местного «конкурента», а общее количество издаваемых в США газет было меньше, чем в XIX в.[1]

К концу прошлого столетия в США полностью доминировали 11 источников распространения новостей: три телевизионных сети (АВС, CBS, NBC), три популярных журнала («Тайм», «Ньюсуик», «Ю. С. Ньюс энд уорлд рипорт»), три газеты («Нью-Йорк Таймс», «Вашингтон Пост» «Уолл-стрит-джорнел»), два информационных агентства («Ассошиэйтед Пресс» и «Юнайтед Пресс Интернейшнл»)[1].

 Так что все правильно: Американский опенсорс выступает ровно за то же самое, за что выступает американский телевизор.

А юлькино подвывание из протухших методичек уже даже на мнение не годится)

Барин
+2
Барин, 19 Марта 2022 , url

да это жесть, в проектах в любом ЯП сотни зависимостей разных, и сейчас все нужно проверять, чтобы не было никаких «закладок».

X86
+1
X86, 18 Марта 2022 , url

А тем временем в попенсорсе кипит нехилая борьба:
github.com/vuejs/vue-cli/issues/7054
github.com/RIAEvangelist/node-ipc/issues/233
github.com/medikoo/es5-ext/commit/28de285ed433b45113

docs.google.com/spreadsheets/d/1H3xPB4PgWeFcHjZ7NOPtrcya_Ua4jUolWm-7z9 кому надо больше вкусняшки.

Обновляйтесь смело, это вам не клятая проприетарь, ага

extrimko
+2
extrimko, 19 Марта 2022 , url

Немного не так, вот описание, что сделано в результате: github.com/vuejs/vue-cli/issues/7054#issuecomment-1068677029

Кратко, модуль этого дурака, просто заблокировали, сделали откат к той версии, где нет вредоноса. Ну и чел испортил себе репутацию в сообществе опенсорс и своего модуля так же, его блокнули везде, даже github рассматривает вариант его удаления с ресурса...

 

docs.google.com/spreadsheets/d/1H3xPB4PgWeFcHjZ7NOPtrcya_Ua4jUolWm-7z9-jSpQ/htmlview?pru=AAABf7xtWkI*0wb6Uvei88zJjH9rbo7KhQ

Список вредоносов

Stopor
+5
Stopor, 18 Марта 2022 , url

Для меня, к сожалению, всё это китайская грамота. 

Куды бежать то, где ховаться и пулемётом какой системы отстреливаться?

obamahan
0
obamahan, 18 Марта 2022 , url

Так вроде уже пофиксили все это

X86
+1
X86, 18 Марта 2022 , url

https://news2.ru/story/639011/

 

faustxp faustxp jzucen jzucen теперь эта новость иначе звучит, не так ли?

jzucen
+3
jzucen, 18 Марта 2022 , url

Ни разу. Ты просто не в курсе работы над ПО. А я этим 25 лет занимаюсь.

X86
0
X86, 18 Марта 2022 , url

Но все же задумываться стоит об обеспечении независимости в таких вещах и иметь возможность от этого защищаться..

Я 25 лет назад батники писал и в загрузочную дискету в .CAB-архив Volkov Commander упихивал и smartdrv.exe)

Чуть позже архиватор WinAce сжимал .CAB более эффективно, что позволяло еще туда напихать в 1.38 мегабайта.

jzucen
+1
jzucen, 18 Марта 2022 , url

Ну вот в контексте упомянутой тобой новости, сделали мы свой гитхаб с префом и путанами, а потом из Ростова какой-то укырыш с цветными волосами закоммитит туда какую-то малварь — и чё? Русский — да. Из города с территории РФ — да. Да и IP тоже русский. Офигеть, как всё безопаснее стало.

Не путай тёплое с мягким. Каждый пакетный менеджер фиксирует версии подключаемых библиотек — просто так они сами не обновятся — так только кошки родятся. Фиксируются так же и их хэши, т.е. тупо закоммитить что-то и сказать, что это типа та же версия, с тем же номером, что и неделю/месяц назад — *ер там не плавал.

И ни один нормальный ПМ не позволит подключить сторонний паразиторий без проверки на его безопасность. А если после проверки и подключит — не позволит просто так апгрейдить его просто потому, что какому-то из разрабов захотелось новеньких фич.

Про QA, я так понимаю, ты тоже не в курсе. И про то, что перед релизом всё тестируется в «песочнице», где даже если что-то и будет сломано из-за зловреда — по фигу, на то и «песочница».

Короче, ты можешь быть специалистом в своей области, но сейчас ты полез в чужую, где ни разу не шаришь.

З.Ы. Про всякие там батники, дискеты и vc.com (он неупакованный килограмм 60 всего весил с чем-то — нафиг его ещё жать-то?) можешь не рассказывать. Я в те времена жил с лестеховцами — они вообще в компах не шарили, играть только могли. И тексты набирать нужно было. А диск на моём компе был маленький — либо игрушки, либа винда с офисом. Так я этих чертей за пару недель научил переставлять ОС под свои нужды, со всем autoexec.bat-ами и config.sys-ами.

З.З.Ы. Без обид, но реально полез не туда… ;)

X86
+1
X86, 19 Марта 2022 , url

сделали мы свой гитхаб с префом и путанами, а потом из Ростова какой-то укырыш с цветными волосами закоммитит туда какую-то малварь — и чё? Русский — да. Из города с территории РФ — да. Да и IP тоже русский. Офигеть, как всё безопаснее стало.

 Ну, вред от укурка с Ростова проще купировать, чем если не наш гитхаб завтра скажет, что во исполнение санкций банит российские айпишники и удаляет репозитории аккаунтов из России. Если уж дошло до разговоров, что «ищем способы как выявить русские адреса bitcoin и заблокировать им возможность работать с биржами» — то это уже ад, мрак и средневековье какое-то.

Барин
+2
Барин, 19 Марта 2022 , url

фстрендж вроде тоже 25 лет занимается, с сомнительными результатами. Так что ты не строй из себя эксперта, тут же их без тебя хватает. Это на самом деле пиздец. Дебилы просто рушат все доверие в open source software.

mrCray
0
mrCray, 18 Марта 2022 , url

Все бы ничего, но не факт, что это буржуи. Наши айтишнеги на 95% «мызамирцы» и «нетвойнейцы». Могли сами себе в голову пульнуть.

Дебилы-с, сэр.

Барин
+2
Барин, 19 Марта 2022 , url

Это не так. Большая часть айтишников которые взрослые люди, просто не комментируют на всяких хабрах итд. Поэтому и может возникнуть впечатление, из-за того что активно проявляют свою тупую «гражданскую позицию» в основном школьники и студентота, у которых еще мозгов не хватает, чтобы на сложные материи размышлять.

На деле, большая часть людей которые в ИТ принимают решения, занимают вполне взвешенную позицию и все прекрасно понимают.

норд
0
норд, 19 Марта 2022 , url

 это общая «беда» opensource. В коде можно спрятать любую логическую бомбу. Опухнете искать.

manve
+3
manve, 19 Марта 2022 , url

Уже подорвало доверие. 40 лет истории движения свободного программного обеспечения. Десятилетия борьбы, миллионы человекочасов на разработку… И разом все слито в унитаз мудаками с политическим фимозом головного мозга. 

У нас на работе сейчас категорический запрет на опен-сорс. Разрешены только с открытым кодом и после тщательной проверки. Обновления встали.



Войдите или станьте участником, чтобы комментировать