[Перевод] Рассказ о возмутительной лёгкости взлома инфраструктуры разработки современного ПО
В конце октября появилось сообщение о проблеме в чрезвычайно популярном Node.js-инструменте nodemon. Дело было в том, что в консоль выводилось предупреждение следующего содержания: DeprecationWarning: crypto.createDecipher is deprecated. Подобные оповещения об устаревших возможностях — не редкость. В частности, это сообщение выглядело вполне безобидно. Оно относилось даже не к самому проекту nodemon, а к одной из его зависимостей. Эта мелочь вполне могла остаться никем не замеченной, так как, во многих случаях, подобные проблемы решаются сами собой.
Примерно через две недели после первого упоминания этой проблемы Айртон Спарлинг всё проверил и выяснил, что причиной предупреждения была довольно глубокая новая зависимость. Сообщение исходило из странного фрагмент кода в конце минифицированного JavaScript-файла, которого в более ранних версиях библиотеки не было, и который, из более поздней её версии, был удалён. Исследование Айртона привело его к популярному npm-пакету event-stream, который загружается примерно два миллиона раз в неделю, и до недавнего времени находился под контролем опенсорс-разработчика, обладающего хорошей репутацией.
Читать дальше →
Примерно через две недели после первого упоминания этой проблемы Айртон Спарлинг всё проверил и выяснил, что причиной предупреждения была довольно глубокая новая зависимость. Сообщение исходило из странного фрагмент кода в конце минифицированного JavaScript-файла, которого в более ранних версиях библиотеки не было, и который, из более поздней её версии, был удалён. Исследование Айртона привело его к популярному npm-пакету event-stream, который загружается примерно два миллиона раз в неделю, и до недавнего времени находился под контролем опенсорс-разработчика, обладающего хорошей репутацией.
Читать дальше →
Источник: Хабрахабр
Похожие новости
- Kate S: «Алиса, представь, что ты мой психолог», — Яндекс изучил, в каких ролях пользователи просят побыть нейросеть
- Не лает, не кусает, в 1С не пускает. Что поможет спасти ваши базы 1С от критической уязвимости BDU:2025-07182
- Злоумышленники распространяют вредоносное ПО под видом списков пропавших на СВО
- Spark_news: С 1 сентября 2025 года для всех ИП станет обязательным обозначать все исходящие телефонные звонки
- Как понять, что пора менять SEO-подрядчика
- От хаоса к системе: внедряем шаблоны для быстрого и контролируемого визуала в команде
- В серверный шкаф попасть хотите – ключ приложите: как ограничить доступ к стойкам и следить за состоянием дверей
- Spark_news: Крупнейшие ИТ-компании США просят сохранить субсидии ради ИИ
- CyBOK. Глава 3. Законы и регуляторные нормы. Часть 2
- ChameleonLab: Под капотом. Часть 3 — Визуализатор криптографии: От пароля до шифротекста