Czy błąd w narzędziach npm wpłynie na bezpieczeństwo pakietów?
Czy błąd w narzędziach npm wpłynie na bezpieczeństwo pakietów?
Ostatnio w świecie programowania pojawił się poważny błąd w narzędziach npm, który błędnie oznaczył pakiety jednoznakowe jako posiadaczy bezpieczeństwa. Dotyczy to m.in. liter, cyfr oraz pakietu -.
Analiza publicznego rejestru npm przez firmę Socket ujawniła, że wiele z tych pakietów otrzymało wersje 0.0.1-security lub 0.0.1-security.0, a najnowsze oznaczenia zostały przeniesione do miejsca zabezpieczającego. Starsze wersje pakietów pozostały dostępne.
Npm potwierdziło, że oznaczenia te nie były zamierzone i obecnie pracuje nad ich wycofaniem. "To zdarzyło się z powodu błędu w naszym narzędziu i było pomyłką. Przyglądamy się temu," powiedział przedstawiciel npm w odpowiedzi na zapytanie Socket.
Warto zwrócić uwagę na listę dotkniętych pakietów, która obejmowała m.in.:
- crw- (pakiet istnieje w rejestrze, ale jego strona npm jest obecnie niedostępna z powodu błędu w stronie npm)
- mpin32
Na podstawie: Źródła
