npub1lxgfm00kf6aj2yq4qdx2m6ssqmpdy3ylplcl3j0ry7x97eehkqusrz6qlq (npub1lxg…6qlq)
Один из разработчиков JavaScript-пакетов npub1dvetrm5jf0h70sd2hp8rq7euw57sp0kn82qufkhckr0mc6t38v3s454ltx (npub1dve…4ltx) эксперимент с созданием и размещением в репозитории NPM пакета "npub1kc0cafl390t0hev5as8kvk75sj4rutz3yg6w383kmmzcwpmtlpnsn2sfcd (npub1kc0…sfcd)", который охватывает зависимостями все существующие пакеты в репозитории. Для реализации подобной возможности пакет "everything" npub1ye5vf0wyqde4wn08cd8f4cneqraur42xlk8559xjtfyed7qz6hxqxy99mm (npub1ye5…99mm) прямыми зависимостями с пятью пакетами "@everything-registry/chunk-N", которые в свою очередь привязываются зависимостями к более 3000 пакетов "sub-chunk-N", в каждом из которых осуществляется привязка к 800 существующих пакетов в репозитории.
Размещение "everything" в NPM привело к двум интересным эффектам. Во-первых пакет "everything" стал своеобразным инструментом для совершения DoS-атак, так как попытка его установки приводит к загрузке миллионов размещённых в NPM пакетов и исчерпанию имеющегося дискового пространства или остановке выполнения сборочных процессов. По статистике NPM пакет был загружен около 250 раз, но никто не мешает добавить его в зависимости к другому пакету после взлома учётной записи разработчика для совершения диверсии. Кроме того, невольно атаке оказались подвержены некоторые службы и инструменты осуществляющие мониторинг и проверку новых пакетов, размещаемых в NPM.
Во-вторых публикация пакета "everything" фактически заблокировала возможность удаления любых пакетов в NPM, которые оказались в списке его зависимостей. Пакет из NPM может быть удалён автором только если он ещё не используется в зависимостях других пакетов, но после публикации "everything" зависимостями оказались охвачены все пакеты в репозитории. Примечательно, что удаление самого пакета
"everything" также оказалось заблокированным, так как 9 лет назад в репозитории был размещён тестовый пакет "npub16xdu8zefluj7w9u684udf4c5flv3q7l8u0l4mvgsy89p8cl0y2jqdhdduh (npub16xd…dduh)", в котором была указана строка "everything" в списке зависимостей. Таким образом,
пакет "everything" после публикации оказался в зависимостях у другого пакета.
Источник: npub1lxgfm00kf6aj2yq4qdx2m6ssqmpdy3ylplcl3j0ry7x97eehkqusrz6qlq (npub1lxg…6qlq)
opennet /
npub1gv…xrq7t
2024-01-05 10:00:04
Author Public Key
npub1gvyuwc582p7qlyy707qpm3dqjktcjmt2m6pfqq4kms9dm3m9wjxsfxrq7tPublished at
2024-01-05 10:00:04Event JSON
{
"id": "ea322e94b13bcaeee2ce7eb27963fe55a45771da5cb5b1468c30b44ca5dff7e2",
"pubkey": "4309c76287507c0f909e7f801dc5a09597896d6ade829002b6dc0addc765748d",
"created_at": 1704448804,
"kind": 1,
"tags": [
[
"p",
"f9909dbdf64ebb251015034cadea1006c2d2449f0ff1f8c9e3278c5f6737b039",
"wss://relay.mostr.pub"
],
[
"p",
"6b32b1ee924befe7c1aab84e307b3c753d00bed33a81c4daf8b0dfbc69713b23",
"wss://relay.mostr.pub"
],
[
"p",
"b61f8ea7f12bd6fbe594ec0f665bd484aa3e2c512234e89e36dec587076bf867",
"wss://relay.mostr.pub"
],
[
"p",
"2668c4bdc40373574de7c34e9ae27900fbc1d546fd8f4a14d25a4996f802d5cc",
"wss://relay.mostr.pub"
],
[
"p",
"d19bc38b29ff25e7179a3d78d4d7144fd9107be7e3ff5db11021ca13e3ef22a4",
"wss://relay.mostr.pub"
],
[
"proxy",
"https://honk.any-key.press/u/opennet/h/3dr4h67z29hg9F3nDr",
"activitypub"
]
],
"content": "nostr:npub1lxgfm00kf6aj2yq4qdx2m6ssqmpdy3ylplcl3j0ry7x97eehkqusrz6qlq\nОдин из разработчиков JavaScript-пакетов nostr:npub1dvetrm5jf0h70sd2hp8rq7euw57sp0kn82qufkhckr0mc6t38v3s454ltx эксперимент с созданием и размещением в репозитории NPM пакета \"nostr:npub1kc0cafl390t0hev5as8kvk75sj4rutz3yg6w383kmmzcwpmtlpnsn2sfcd\", который охватывает зависимостями все существующие пакеты в репозитории. Для реализации подобной возможности пакет \"everything\" nostr:npub1ye5vf0wyqde4wn08cd8f4cneqraur42xlk8559xjtfyed7qz6hxqxy99mm прямыми зависимостями с пятью пакетами \"@everything-registry/chunk-N\", которые в свою очередь привязываются зависимостями к более 3000 пакетов \"sub-chunk-N\", в каждом из которых осуществляется привязка к 800 существующих пакетов в репозитории. \n\n\nРазмещение \"everything\" в NPM привело к двум интересным эффектам. Во-первых пакет \"everything\" стал своеобразным инструментом для совершения DoS-атак, так как попытка его установки приводит к загрузке миллионов размещённых в NPM пакетов и исчерпанию имеющегося дискового пространства или остановке выполнения сборочных процессов. По статистике NPM пакет был загружен около 250 раз, но никто не мешает добавить его в зависимости к другому пакету после взлома учётной записи разработчика для совершения диверсии. Кроме того, невольно атаке оказались подвержены некоторые службы и инструменты осуществляющие мониторинг и проверку новых пакетов, размещаемых в NPM. \n\n\nВо-вторых публикация пакета \"everything\" фактически заблокировала возможность удаления любых пакетов в NPM, которые оказались в списке его зависимостей. Пакет из NPM может быть удалён автором только если он ещё не используется в зависимостях других пакетов, но после публикации \"everything\" зависимостями оказались охвачены все пакеты в репозитории. Примечательно, что удаление самого пакета \n\"everything\" также оказалось заблокированным, так как 9 лет назад в репозитории был размещён тестовый пакет \"nostr:npub16xdu8zefluj7w9u684udf4c5flv3q7l8u0l4mvgsy89p8cl0y2jqdhdduh\", в котором была указана строка \"everything\" в списке зависимостей. Таким образом, \nпакет \"everything\" после публикации оказался в зависимостях у другого пакета.\n\n \n\nИсточник: nostr:npub1lxgfm00kf6aj2yq4qdx2m6ssqmpdy3ylplcl3j0ry7x97eehkqusrz6qlq\n",
"sig": "e6726caf8d4fd24346bff70214b8a4a5e7cf8064a0b4f71551d5e6e3aa9882b839f627d744cbd5710baa3c18e58fe99b5e832a7afd5de23c324d14d1e5183893"
}