forum.opennet.ru - "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." (45)

"Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
Сообщение от opennews (ok), 16-Дек-19, 12:57
В обновлении пакетного менеджера NPM 6.13.4, входящего в поставку Node.js и применяемого для распространения модулей на языке JavaScript, устранены три уязвимости (CVE-2019-16775, CVE-2019-16776 и CVE-2019-16777), позволяющие модифицировать или перзаписать произвольные системные файлы при установке пакета, подготовленного злоумышленником. В качестве обходного пути защиты может быть установка с опцией "--ignore-scripts", запрещающей выполнение встроенных пакеты обработчиков. Разработчики NPM проанализирвали имеющиеся в репозитории пакеты и не нашли следов использования выявленных проблем для совершения атак... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=52043
Ответить \| Правка \| Cообщить модератору

Оглавление

ненене, репозиториям мы доверяем и без запуска установочных скриптов в пакетах , JL2001 (ok), 12:57 , 16-Дек-19, (1) +3

Как будто в rpm нет скриптов , Аноним (2), 13:04 , 16-Дек-19, (2) +13

как будто это что-то хорошеелучше бы возразили что в юнитфайлах иногда таки не у, JL2001 (ok), 16:00 , 16-Дек-19, (16) –1

как будто это что-то плохое, Аноним (25), 16:37 , 16-Дек-19, (25) +2

Ну да, доверяем, а что Правда, между репозиториями и NPM всё-таки, видать, есть, Crazy Alex (ok), 17:27 , 16-Дек-19, (29) +4

Нет антивируса - нет вируса Пока гром не грянет мужик не узнает про существован, Аноним (31), 17:55 , 16-Дек-19, (31) –1
если вы не видете суслика, это всего лишь значит, что он хорошо маскируетсяоглян, JL2001 (ok), 20:22 , 16-Дек-19, (37)

Ха, а то, что эти скрипты зачастую блоб не пойми откуда скачивают - это уже мело, Грусть (?), 13:05 , 16-Дек-19, (3) +6

Блоб не пойми откуда ничем не хуже обычного JS-кода не пойми откуда И то и то т, Аноним (15), 15:08 , 16-Дек-19, (15) +3

Скриптов быть не должно Если надо что-то заскриптовать, это должно делаться при, Грусть (?), 13:07 , 16-Дек-19, (4) –1

Сейчас придут адепты GNU Guix , ЧЯДНТ (?), 13:53 , 16-Дек-19, (8) +2

и что они раскажут , JL2001 (ok), 16:04 , 16-Дек-19, (19)

Что всё есть guile , Аноним (39), 21:24 , 16-Дек-19, (39) +1

В npm не только скрипты на JS, но и нативные модули библиотеки, которым требуетс, Аноним (15), 14:32 , 16-Дек-19, (10)

Поэтому они и тянут блобы NPM не может заменить системный пакетный менеджер А , Тоска (?), 14:37 , 16-Дек-19, (11) –1

Пытается заменить только при глобальной установке с -g , и тут я с вами в основ, Аноним (15), 14:51 , 16-Дек-19, (13)
результат не потомуа потому что при запуске чего-то есть шанс что это чего-то на, JL2001 (ok), 16:08 , 16-Дек-19, (20)

Запускать npm с sudo - это выстрел в ногу Node с npm должны быть установлены то, Аноним (5), 13:23 , 16-Дек-19, (5) –1

в контейнере на вриталке без доступа к локальной сети, ЧЯДНТ (?), 13:36 , 16-Дек-19, (6) +1
это скорее не проблема npm, а sudo, который слишком много позволяет, Антон (??), 14:25 , 16-Дек-19, (9)
а rpm с sudo значит можно , JL2001 (ok), 16:01 , 16-Дек-19, (17) +1

NPM та еще помойка, оф репы как-то больше вызывают доверия , Аноним (5), 16:20 , 16-Дек-19, (22) +2

но почему люди и там и там - уходят проверенные и приходят новыеа ещё у них вре, JL2001 (ok), 18:25 , 16-Дек-19, (33)

В npm отсутствует вообще какой-либо контроль приходящих людей В дистрибутивах с, Аноним (39), 21:27 , 16-Дек-19, (40) +1

Какая разница Вы полагаете у юзера мало прав У типичного юзер 99 прав рута и , Аноним (34), 18:58 , 16-Дек-19, (34) +1

Если к npm-пакетам нет доверия, так что нельзя позволять им работать с произволь, Аноним (7), 13:46 , 16-Дек-19, (7)

а как вы вообще определяете каким пакетам доверять, а каким - нет зы из зала ещ, JL2001 (ok), 16:03 , 16-Дек-19, (18) +1

По исходному коду, Аноним (25), 16:38 , 16-Дек-19, (26)

Часть пакетов написана на TypeScript и перед публикацией в npm транспилится в JS, Аноним (15), 16:49 , 16-Дек-19, (28)

Если проверить нельзя, значит, и доверять такому коду нельзя , К.О. (?), 21:29 , 16-Дек-19, (41) +1
транспишяция должна быть частью npm, а не говноскриптами Скажу больше, по-моему, Аноним (46), 23:08 , 17-Дек-19, (46)

серьёзно можно я буду Вам поклоняться, мой Бог Всезнающий и Всепонимающий, JL2001 (ok), 20:14 , 16-Дек-19, (35)

Какой-то идиотизм Очевидное же решение - распаковать файлы внутри firejail, там, anonymous (??), 14:40 , 16-Дек-19, (12)

Это молодая система, подождите , Аноним (14), 14:57 , 16-Дек-19, (14) –1
Сам npm cli не сказать что быстро развивается в плане новых фич Не думаю, что с, Аноним (15), 16:32 , 16-Дек-19, (24)
Потому что firejail не обязан быть везде установлен , Аноним (25), 16:39 , 16-Дек-19, (27)

мало того, что у них какие то пакеты для жыеса устанавливаются в обход системног, Аноним (30), 17:46 , 16-Дек-19, (30) +2
а жаль, JL2001 (ok), 20:18 , 16-Дек-19, (36)

Какой jail Какого перца тащить в систему все говно без разбору, а потом разбира, gogo (?), 23:38 , 16-Дек-19, (45)

Помнити лифпад , Аноним (21), 16:12 , 16-Дек-19, (21)

Ловите С89-хипстера , Аноним (5), 16:21 , 16-Дек-19, (23)

Может кто-то уже догадается сделать npm с пакетами проверенными вручную Да даже, Аноним (31), 17:58 , 16-Дек-19, (32)

Наверняка кто-то пробовал И наверняка они разорились на мятно-имбирных таблетка, gogo (?), 23:35 , 16-Дек-19, (44)

Шо, опять серебряные пули, небитые, некрашеные, пользовалась девушка , Michael Shigorin (ok), 22:42 , 16-Дек-19, (42) –1
Проблема ведь не в том, что скрипт пакета может что-то злонамеренно переписать П, gogo (?), 23:33 , 16-Дек-19, (43)

Сообщения [Сортировка по времени | RSS]

1. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +3 +/–

Сообщение от JL2001 (ok), 16-Дек-19, 12:57

ненене, репозиториям мы доверяем! и без запуска установочных скриптов в пакетах никак не возможно устанавливать пакеты!! только так!!!
а то иначе получатся какие-то простигоспади rpm-юнит-файлы и installd, а этого мы допустить никак не можем!!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +13 +/–

Сообщение от Аноним (2), 16-Дек-19, 13:04

Как будто в .rpm нет скриптов.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

16. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." –1 +/–

Сообщение от JL2001 (ok), 16-Дек-19, 16:00

> Как будто в .rpm нет скриптов.
как будто это что-то хорошее
лучше бы возразили что в юнитфайлах иногда таки не удаётся без скриптов

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

25. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +2 +/–

Сообщение от Аноним (25), 16-Дек-19, 16:37

> как будто это что-то хорошее
как будто это что-то плохое

Ответить | Правка | ^ к родителю #16 | Наверх | Cообщить модератору

29. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +4 +/–

Сообщение от Crazy Alex (ok), 16-Дек-19, 17:27

Ну да, доверяем, а что? Правда, между репозиториями и NPM всё-таки, видать, есть какое-то различие - что-то я о зловредах в дебиане или там центоси не слышал.

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

31. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." –1 +/–

Сообщение от Аноним (31), 16-Дек-19, 17:55

Нет антивируса - нет вируса. Пока гром не грянет мужик не узнает про существование грома. Незнание - сила.

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

37. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от JL2001 (ok), 16-Дек-19, 20:22

> Ну да, доверяем, а что? Правда, между репозиториями и NPM всё-таки, видать,
> есть какое-то различие - что-то я о зловредах в дебиане или
> там центоси не слышал.
если вы не видете суслика, это всего лишь значит, что он хорошо маскируется
оглянитесь вокруг - некоторые люди злы и порочны, вам хватит ровно одного
такого, который скажет мантейнеру, что он знает где учится его маленькая дочка

Ответить | Правка | ^ к родителю #29 | Наверх | Cообщить модератору

3. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +6 +/–

Сообщение от Грусть (?), 16-Дек-19, 13:05

Ха, а то, что эти скрипты зачастую блоб не пойми откуда скачивают - это уже мелочи :)

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

15. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +3 +/–

Сообщение от Аноним (15), 16-Дек-19, 15:08

Блоб не пойми откуда ничем не хуже обычного JS-кода не пойми откуда. И то и то требует доверия к разработчику модуля. На этом доверии всё и строится

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

4. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." –1 +/–

Сообщение от Грусть (?), 16-Дек-19, 13:07

Скриптов быть не должно. Если надо что-то заскриптовать, это должно делаться при запуске сервиса или ином использовании пакета. Как IPS в солярке или как всё в nixos.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +2 +/–

Сообщение от ЧЯДНТ (?), 16-Дек-19, 13:53

Сейчас придут адепты GNU Guix.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

19. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от JL2001 (ok), 16-Дек-19, 16:04

> Сейчас придут адепты GNU Guix.
и что они раскажут?

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

39. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +1 +/–

Сообщение от Аноним (39), 16-Дек-19, 21:24

Что всё есть guile.

Ответить | Правка | ^ к родителю #19 | Наверх | Cообщить модератору

10. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (15), 16-Дек-19, 14:32

В npm не только скрипты на JS, но и нативные модули/библиотеки, которым требуется компиляция

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

11. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." –1 +/–

Сообщение от Тоска (?), 16-Дек-19, 14:37

Поэтому они и тянут блобы. NPM не может заменить системный пакетный менеджер. А они пытается. Результат - на лице.

Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

13. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (15), 16-Дек-19, 14:51

Пытается заменить только при глобальной установке с `-g`, и тут я с вами в основном согласен.
Но основной кейс иcпользования npm - локальная установка в каталог проекта в `node_modules` и локальный bin в `node_modules/.bin` и тут пакетный менеджер никак не может быть заменой с учётом транзитивных зависимостей разных версий в пределах одного проекта, а это распространённое явление при использовании "больших" зависимостей типа реакта, бабеля и т.п.

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

20. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от JL2001 (ok), 16-Дек-19, 16:08

> Поэтому они и тянут блобы. NPM не может заменить системный пакетный менеджер.
> А они пытается. Результат - на лице.
результат не потому
а потому что при запуске чего-то есть шанс что это чего-то начнёт себя вести нехорошо
тоесть и запуск установленной программы, и её установка, и сборка её бинарного пакета должны проходить в ограниченых окружениях

Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

5. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." –1 +/–

Сообщение от Аноним (5), 16-Дек-19, 13:23

Запускать npm с sudo - это выстрел в ногу.
Node с npm должны быть установлены только в хомяке (через nvm).
Никогда не понимал установку ноды из репозиториев.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +1 +/–

Сообщение от ЧЯДНТ (?), 16-Дек-19, 13:36

... в контейнере на вриталке без доступа к локальной сети

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

9. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Антон (??), 16-Дек-19, 14:25

это скорее не проблема npm, а sudo, который слишком много позволяет

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

17. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +1 +/–

Сообщение от JL2001 (ok), 16-Дек-19, 16:01

> Запускать npm с sudo - это выстрел в ногу.
> Node с npm должны быть установлены только в хомяке (через nvm).
> Никогда не понимал установку ноды из репозиториев.
а rpm с sudo значит можно?

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

22. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +2 +/–

Сообщение от Аноним (5), 16-Дек-19, 16:20

NPM та еще помойка, оф.репы как-то больше вызывают доверия.

Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

33. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от JL2001 (ok), 16-Дек-19, 18:25

> NPM та еще помойка, оф.репы как-то больше вызывают доверия.
но почему? люди и там и там - уходят проверенные и приходят новые
а ещё у них время выплаты кредита тикает

Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

40. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +1 +/–

Сообщение от Аноним (39), 16-Дек-19, 21:27

В npm отсутствует вообще какой-либо контроль приходящих людей. В дистрибутивах с этим получше, там доказать квалификацию нужно, и, зачастую, личность подтвердить. Все майнтейнеры Debian, скажем, известны поимённо, а что за васян очередной лефтпад в npm залил — поди разберись.

Ответить | Правка | ^ к родителю #33 | Наверх | Cообщить модератору

34. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +1 +/–

Сообщение от Аноним (34), 16-Дек-19, 18:58

Какая разница? Вы полагаете у юзера мало прав? У типичного юзер 99% прав рута и это хорошо если судо ещё не используется для всего, с судо и последний процент исчезает.

Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

7. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (7), 16-Дек-19, 13:46

Если к npm-пакетам нет доверия, так что нельзя позволять им работать с произвольными файлами в установочных скриптах, значит не следует вообще устанавливать npm-пакеты.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

18. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +1 +/–

Сообщение от JL2001 (ok), 16-Дек-19, 16:03

> Если к npm-пакетам нет доверия, так что нельзя позволять им работать с
> произвольными файлами в установочных скриптах, значит не следует вообще устанавливать
> npm-пакеты.
а как вы вообще определяете каким пакетам доверять, а каким - нет?
зы: из зала ещё подсказывают, что скрипты при установке можно и из сети скачать

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

26. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (25), 16-Дек-19, 16:38

> а как вы вообще определяете каким пакетам доверять, а каким - нет?
По исходному коду

Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

28. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (15), 16-Дек-19, 16:49

Часть пакетов написана на TypeScript и перед публикацией в npm транспилится в JS и минифицируется. Такой транспилированный код вы тоже проверяете на соответствие TypeScript-коду?
Не говоря о том, что в npm можно залить совсем не тот код, который лежит в VCS.

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

41. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +1 +/–

Сообщение от К.О. (?), 16-Дек-19, 21:29

Если проверить нельзя, значит, и доверять такому коду нельзя.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

46. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (46), 17-Дек-19, 23:08

транспишяция должна быть частью npm, а не говноскриптами. Скажу больше, по-моему node должен уметь в typescript без транспиляции, нативно. Как и JS-движки. Это позволит им лучше оптимизировать код.

Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

35. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от JL2001 (ok), 16-Дек-19, 20:14

>> а как вы вообще определяете каким пакетам доверять, а каким - нет?
> По исходному коду
серьёзно?
можно я буду Вам поклоняться, мой Бог? Всезнающий и Всепонимающий

Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

12. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от anonymous (??), 16-Дек-19, 14:40

Какой-то идиотизм. Очевидное же решение - распаковать файлы внутри firejail, там же скомпилять, а потом готовое скопировать, при попытке переписать существующий файл - откат копирования и фейл. Давно уже все необходимые утилиты существуют, почему дистрописатели не используют их?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

14. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." –1 +/–

Сообщение от Аноним (14), 16-Дек-19, 14:57

Это молодая система, подождите...

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

24. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (15), 16-Дек-19, 16:32

Сам npm cli не сказать что быстро развивается в плане новых фич. Не думаю, что сейчас есть ресурсы на это, особенно если учесть, что npm кроссплатформенный.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

27. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (25), 16-Дек-19, 16:39

Потому что firejail не обязан быть везде установлен.

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

30. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +2 +/–

Сообщение от Аноним (30), 16-Дек-19, 17:46

мало того, что у них какие то пакеты для жыеса устанавливаются в обход системного менеджера, так еще и сам установщик устанавливается в обход установщика?

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

36. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от JL2001 (ok), 16-Дек-19, 20:18

> Потому что firejail не обязан быть везде установлен.
а жаль

Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

45. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от gogo (?), 16-Дек-19, 23:38

Какой jail? Какого перца тащить в систему все говно без разбору, а потом разбирать, что за говно притащили?..

Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

21. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (21), 16-Дек-19, 16:12

Помнити лифпад!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

23. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (5), 16-Дек-19, 16:21

Ловите С89-хипстера!

Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

32. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от Аноним (31), 16-Дек-19, 17:58

Может кто-то уже догадается сделать npm с пакетами проверенными вручную. Да даже за деньги. Red Hat IBM NPM Registry Cloud Enterprise Services. Идею дарю.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

44. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от gogo (?), 16-Дек-19, 23:35

Наверняка кто-то пробовал. И наверняка они разорились на мятно-имбирных таблетках от тошноты для проверяющих...

Ответить | Правка | ^ к родителю #32 | Наверх | Cообщить модератору

42. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." –1 +/–

Сообщение от Michael Shigorin (ok), 16-Дек-19, 22:42

Шо, опять?!
// серебряные пули, небитые, некрашеные, пользовалась девушка...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

43. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..." +/–

Сообщение от gogo (?), 16-Дек-19, 23:33

Проблема ведь не в том, что скрипт пакета может что-то злонамеренно переписать.
Проблема в том, что такую возможность рассматривают как вполне вероятную и пытаются от неё защититься!
Сравнивая с .rpm, КАК можно пользоваться системой, где вероятность распространения злонамеренного кода _теоретически_ НЕ может быть сведена к нулю?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+3 +/–
Сообщение от JL2001 (ok), 16-Дек-19, 12:57
ненене, репозиториям мы доверяем! и без запуска установочных скриптов в пакетах никак не возможно устанавливать пакеты!! только так!!! а то иначе получатся какие-то простигоспади rpm-юнит-файлы и installd, а этого мы допустить никак не можем!!
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	2. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+13 +/–
	Сообщение от Аноним (2), 16-Дек-19, 13:04
	Как будто в .rpm нет скриптов.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	16. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	–1 +/–
	Сообщение от JL2001 (ok), 16-Дек-19, 16:00
	> Как будто в .rpm нет скриптов. как будто это что-то хорошее лучше бы возразили что в юнитфайлах иногда таки не удаётся без скриптов
	Ответить \| Правка \| ^ к родителю #2 \| Наверх \| Cообщить модератору


	25. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+2 +/–
	Сообщение от Аноним (25), 16-Дек-19, 16:37
	> как будто это что-то хорошее как будто это что-то плохое
	Ответить \| Правка \| ^ к родителю #16 \| Наверх \| Cообщить модератору


	29. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+4 +/–
	Сообщение от Crazy Alex (ok), 16-Дек-19, 17:27
	Ну да, доверяем, а что? Правда, между репозиториями и NPM всё-таки, видать, есть какое-то различие - что-то я о зловредах в дебиане или там центоси не слышал.
	Ответить \| Правка \| ^ к родителю #1 \| Наверх \| Cообщить модератору


	31. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	–1 +/–
	Сообщение от Аноним (31), 16-Дек-19, 17:55
	Нет антивируса - нет вируса. Пока гром не грянет мужик не узнает про существование грома. Незнание - сила.
	Ответить \| Правка \| ^ к родителю #29 \| Наверх \| Cообщить модератору


	37. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от JL2001 (ok), 16-Дек-19, 20:22
	> Ну да, доверяем, а что? Правда, между репозиториями и NPM всё-таки, видать, > есть какое-то различие - что-то я о зловредах в дебиане или > там центоси не слышал. если вы не видете суслика, это всего лишь значит, что он хорошо маскируется оглянитесь вокруг - некоторые люди злы и порочны, вам хватит ровно одного такого, который скажет мантейнеру, что он знает где учится его маленькая дочка
	Ответить \| Правка \| ^ к родителю #29 \| Наверх \| Cообщить модератору

3. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+6 +/–
Сообщение от Грусть (?), 16-Дек-19, 13:05
Ха, а то, что эти скрипты зачастую блоб не пойми откуда скачивают - это уже мелочи :)
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	15. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+3 +/–
	Сообщение от Аноним (15), 16-Дек-19, 15:08
	Блоб не пойми откуда ничем не хуже обычного JS-кода не пойми откуда. И то и то требует доверия к разработчику модуля. На этом доверии всё и строится
	Ответить \| Правка \| ^ к родителю #3 \| Наверх \| Cообщить модератору

4. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	–1 +/–
Сообщение от Грусть (?), 16-Дек-19, 13:07
Скриптов быть не должно. Если надо что-то заскриптовать, это должно делаться при запуске сервиса или ином использовании пакета. Как IPS в солярке или как всё в nixos.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	8. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+2 +/–
	Сообщение от ЧЯДНТ (?), 16-Дек-19, 13:53
	Сейчас придут адепты GNU Guix.
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	19. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от JL2001 (ok), 16-Дек-19, 16:04
	> Сейчас придут адепты GNU Guix. и что они раскажут?
	Ответить \| Правка \| ^ к родителю #8 \| Наверх \| Cообщить модератору


	39. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+1 +/–
	Сообщение от Аноним (39), 16-Дек-19, 21:24
	Что всё есть guile.
	Ответить \| Правка \| ^ к родителю #19 \| Наверх \| Cообщить модератору


	10. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от Аноним (15), 16-Дек-19, 14:32
	В npm не только скрипты на JS, но и нативные модули/библиотеки, которым требуется компиляция
	Ответить \| Правка \| ^ к родителю #4 \| Наверх \| Cообщить модератору


	11. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	–1 +/–
	Сообщение от Тоска (?), 16-Дек-19, 14:37
	Поэтому они и тянут блобы. NPM не может заменить системный пакетный менеджер. А они пытается. Результат - на лице.
	Ответить \| Правка \| ^ к родителю #10 \| Наверх \| Cообщить модератору


	13. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от Аноним (15), 16-Дек-19, 14:51
	Пытается заменить только при глобальной установке с `-g`, и тут я с вами в основном согласен. Но основной кейс иcпользования npm - локальная установка в каталог проекта в `node_modules` и локальный bin в `node_modules/.bin` и тут пакетный менеджер никак не может быть заменой с учётом транзитивных зависимостей разных версий в пределах одного проекта, а это распространённое явление при использовании "больших" зависимостей типа реакта, бабеля и т.п.
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору


	20. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от JL2001 (ok), 16-Дек-19, 16:08
	> Поэтому они и тянут блобы. NPM не может заменить системный пакетный менеджер. > А они пытается. Результат - на лице. результат не потому а потому что при запуске чего-то есть шанс что это чего-то начнёт себя вести нехорошо тоесть и запуск установленной программы, и её установка, и сборка её бинарного пакета должны проходить в ограниченых окружениях
	Ответить \| Правка \| ^ к родителю #11 \| Наверх \| Cообщить модератору

5. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	–1 +/–
Сообщение от Аноним (5), 16-Дек-19, 13:23
Запускать npm с sudo - это выстрел в ногу. Node с npm должны быть установлены только в хомяке (через nvm). Никогда не понимал установку ноды из репозиториев.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	6. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+1 +/–
	Сообщение от ЧЯДНТ (?), 16-Дек-19, 13:36
	... в контейнере на вриталке без доступа к локальной сети
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	9. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от Антон (??), 16-Дек-19, 14:25
	это скорее не проблема npm, а sudo, который слишком много позволяет
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	17. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+1 +/–
	Сообщение от JL2001 (ok), 16-Дек-19, 16:01
	> Запускать npm с sudo - это выстрел в ногу. > Node с npm должны быть установлены только в хомяке (через nvm). > Никогда не понимал установку ноды из репозиториев. а rpm с sudo значит можно?
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору


	22. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+2 +/–
	Сообщение от Аноним (5), 16-Дек-19, 16:20
	NPM та еще помойка, оф.репы как-то больше вызывают доверия.
	Ответить \| Правка \| ^ к родителю #17 \| Наверх \| Cообщить модератору


	33. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от JL2001 (ok), 16-Дек-19, 18:25
	> NPM та еще помойка, оф.репы как-то больше вызывают доверия. но почему? люди и там и там - уходят проверенные и приходят новые а ещё у них время выплаты кредита тикает
	Ответить \| Правка \| ^ к родителю #22 \| Наверх \| Cообщить модератору


	40. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+1 +/–
	Сообщение от Аноним (39), 16-Дек-19, 21:27
	В npm отсутствует вообще какой-либо контроль приходящих людей. В дистрибутивах с этим получше, там доказать квалификацию нужно, и, зачастую, личность подтвердить. Все майнтейнеры Debian, скажем, известны поимённо, а что за васян очередной лефтпад в npm залил — поди разберись.
	Ответить \| Правка \| ^ к родителю #33 \| Наверх \| Cообщить модератору


	34. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+1 +/–
	Сообщение от Аноним (34), 16-Дек-19, 18:58
	Какая разница? Вы полагаете у юзера мало прав? У типичного юзер 99% прав рута и это хорошо если судо ещё не используется для всего, с судо и последний процент исчезает.
	Ответить \| Правка \| ^ к родителю #5 \| Наверх \| Cообщить модератору

7. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
Сообщение от Аноним (7), 16-Дек-19, 13:46
Если к npm-пакетам нет доверия, так что нельзя позволять им работать с произвольными файлами в установочных скриптах, значит не следует вообще устанавливать npm-пакеты.
Ответить \| Правка \| ^ к родителю #0 \| Наверх \| Cообщить модератору


	18. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+1 +/–
	Сообщение от JL2001 (ok), 16-Дек-19, 16:03
	> Если к npm-пакетам нет доверия, так что нельзя позволять им работать с > произвольными файлами в установочных скриптах, значит не следует вообще устанавливать > npm-пакеты. а как вы вообще определяете каким пакетам доверять, а каким - нет? зы: из зала ещё подсказывают, что скрипты при установке можно и из сети скачать
	Ответить \| Правка \| ^ к родителю #7 \| Наверх \| Cообщить модератору


	26. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от Аноним (25), 16-Дек-19, 16:38
	> а как вы вообще определяете каким пакетам доверять, а каким - нет? По исходному коду
	Ответить \| Правка \| ^ к родителю #18 \| Наверх \| Cообщить модератору


	28. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+/–
	Сообщение от Аноним (15), 16-Дек-19, 16:49
	Часть пакетов написана на TypeScript и перед публикацией в npm транспилится в JS и минифицируется. Такой транспилированный код вы тоже проверяете на соответствие TypeScript-коду? Не говоря о том, что в npm можно залить совсем не тот код, который лежит в VCS.
	Ответить \| Правка \| ^ к родителю #26 \| Наверх \| Cообщить модератору


	41. "Уязвимость в NPM, позволяющая изменить произвольные файлы пр..."	+1 +/–
	Сообщение от К.О. (?), 16-Дек-19, 21:29
	Если проверить нельзя, значит, и доверять такому коду нельзя.
	Ответить \| Правка \| ^ к родителю #28 \| Наверх \| Cообщить модератору