Złośliwy kod w pakietach npm z 2 miliardami pobrań tygodniowo

Świat open source właśnie stanął wobec największego w historii ataku na łańcuch dostaw oprogramowania. Hakerzy zdołali wstrzyknąć złośliwy kod do pakietów JavaScript pobieranych ponad 2 miliardy razy tygodniowo z repozytorium npm. Skalą incydent przewyższa wszystko, co do tej pory obserwowano w tej

[theOstry]

To jaki tam jest syf z tym Reactem i paczkami to jest niepojete. Najlepsze jak przy kazdym buildzie masz 230432904 packages begging for donation xD

[QBA__]

@theOstry: taki jest żywot życia z javascriptem

[Hermeutyk]

Nie świat "open source" tylko cały świat. Otwarte biblioteki wykorzystywane są w każdym oprogramowaniu. Chyba że ktoś uważa że programiści za każdym razem lubią wymyślać koło na nowo.

[paczajki]

@Hermeutyk: xDDDDDDDDDDD
w zdrowej, bezpiecznej firmie weryfikuja wersje pakietow do uzytku i potrafia miec nawet swoje serwery z dopuszczonym do uzytku softem lub biala liste. Malo kto zrozumie, bo wiekszosc robi w slabych korpo montowniach i januszeksach

[Hermeutyk]

@paczajki: Wymień takie firmy.

[IksdeHeheh]

Chodzi o bibliotekę sprawdzającą czy liczba jest nieparzysta? Czy o tą sprawdzającą czy jest parzysta ( ͡° ͜ʖ ͡°)

[Simple-Man]

@IksdeHeheh dlatego do takich rzeczy lepiej używać is-odd-ai ( ͡°( ͡° ͜ʖ( ͡° ͜ʖ ͡°)ʖ ͡°) ͡°)

[r1fez]

@IksdeHeheh: Hehehe, no akurat ja mocno w JS nie siedzę ale jak juz usiadłem do napisania toola w fabryce to oczywiscie npm. No i instaluje sobie takiego jesta. A tam pod spodem pierdyliard zależności. W tym takie, ze kod ograniczał sie do ledwie kilku (sic!) linijek kodu. Szczerze mnie to zszokowało, słyszałem ze do npma mnóstwo małych libek ludzie napisali, ale w życiu bym sie nie spodziewał, ze ale tak

[daniel-doe]

Zainfekowane pakiety były dostępne 2h, atakujący atakowali tylko crypto (podmieniali adres przelewu na wlasny) i udało im się ukraść ETH warte $50... proszę ... (ʘ‿ʘ)

[tomq6]

@daniel-doe: no to dobrze, że ktoś trzyma rękę na pulsie :)

[carecki]

@Krolik: Są osoby, które trochę mniej ogarniają środowiska nodejs'owe i nie comitują pliku package-lock.json. W tym momencie dowolny 'npm install' (być może nawet ten na cicd, bo osoby nieogarnięte nie znają też 'npm ci') ściągnie najnowsze wersje paczek (spełniających semver). W takim przypadku zwykły automatyczny build użyje zainfekowanej paczki.

[Edisni]

Znowu ktoś "uczynny" zaoferował pomoc w projekcie?

[Edisni]

"uczynny" zaoferował zabezpieczenia 2FA, a JJ nie zauważył phishingu... Low Level to wyjaśnia

[Zylet]

„Josh Junon (...) przyznał”

„Junon przyznał”

„Przepraszam wszystkich, powinnam była bardziej uważać. To nie w moim stylu; miałam stresujący tydzień. Postaram się to naprawić.”

To w końcu on czy ona?

[pixel-nerd]

@Zylet: Dzięki za zwrócenie uwagi, już poprawiłem. Sam nie wiem, czemu nagle zmieniłem mu płeć...

[Zylet]

@pixel-nerd: uff, bo już się bałem, że jakiś cudak.

[BArtus]

Różnica jest taka, że jak russcy włamali się do SolarWinda i dorzucili trojana do Oriona - to dowiedzieliśmy się o tym dopiero po miesiącach, jak jakiś mała firma wreszcie zainteresowała się dziwnym ruchem w swojej sieci i zrewersowała kod aktualizacji, który od miesięcy wyprowadzał dane z Pentagonu, Białego Domu, NSA plus około setki firm z SAP500.
Atak na otwarty kod jest paradoksalnie dużo trudniejszy: nie wystarczy cwany phishing i uzyskanie dostępu do

[o__0]

ten złośliwy kod to Angular

[legggy]

@o__0 3 z kijem w dupie dali minusy

[kowalzmetina]

Wincyj zależności, projekty wytrzymają ( ͡º ͜ʖ͡º)

[Nick7C5]

Zawsze się zastanawiałem nad taką sytuacją, w repozytoriach które są bardzo popularne - gdzie programista może wcisnąć pusha na repo z złośliwym kodem. Jaki będzie tego finał? Prawda taka, że używając dużych komponentów, nie sposób śledzić każdego commita u vendorów.

[KaiserBrotchen]

gdzie programista może wcisnąć pusha na repo z złośliwym kodem

@Nick7C5: tylko, że jeszcze ktoś mu musi tego merge requesta zaakceptować. Przy jakimkolwiek poważnym projekcie będzie tam zrobione review i coś takiego wyjdzie.