Dependabot жаңыртуусу куртту жарыялады. 22 пакет.

Бул видео эмнелерди камтыйт

• Бот, адам, курт
• Кантип болду, эмне үчүн npm уруксат берди, ким күнөөлүү
• Убакыт тилкеси: ууланган кэш
• 21:48 — Dependabot жаңыртуусу
• Эмне үчүн иштейт

Котормо стенограмма

Англис тилиндеги баштапкы баяндамадан которулган. Жеткиликтүү аудио жана коштомо жазуулар YouTube тарабынан көзөмөлдөнөт.

Бот, адам, курт

0:00 Бот тартуу өтүнүчүн ачат; адам аны жыйырма төрт мүнөттөн кийин бириктирет. Токсон беш мүнөттөн кийин, курт жарыялаган жүз он версиясын анын пакеттерин, ал катары. TanStack'тин постмортеми жогорку агымдын убакыт белгилерин, төмөнкү агымдын тейлөөчүнүн калдыктарын камтыйт, ал эми Hacker News ага миң бир жүз упай жана аталыш берет: Mini Шай-Хулуд. Кантип болот, эмне үчүн npm уруксат берет, ким күнөөлүү.

Кантип болду, эмне үчүн npm уруксат берди, ким күнөөлүү

0:21 Бул The Daily Diff, постмортем. 11-май, эртең менен. Аты өзгөртүлгөн форк TanStack Router'га каршы тартуу өтүнүчүн ачат. Ал бир сааттын ичинде жабылат, бирок бенчмарк жумуш агымы анын кодун иштетип, мурунтан эле

Убакыт тилкеси: ууланган кэш

0:33 чыгаруу жумуш агымы колдоно турган ачкычтын астына ууланган кэшти сактаган. Он тогуз-жыйырма. Мыйзамдуу бириктирүү чыгарууну иштетет. Кэш кайтып келет, бинардык файл иштетүүчүнүн эс тутумун окуйт, жарыялоо токенин алат жана кырк эки пакет боюнча сексен төрт версияны жөнөтөт, жарактуу келип чыгышы менен. Тесттер иштебейт. Ал баары бир жарыялайт. Он тогуз кырк алты, StepSecurity изилдөөчүсү маселени каттайт; UTC тогузга чейин баары эскирген жана эскертүү чыккан.

0:55 Эскирген жоголгон эмес: npm көз карандылары бар эч нерсени жарыялоодон баш тартат, ошондуктан ал бир нече саат бою орнотула берет. Жыйырма бир кырк сегиз. Тогуз жылдыздуу авиациялык-маалымат долбоорунда, Dependabot өзүнүн кадимки тартуу өтүнүчүн ачат: dev-dependencies тобун жаңыртуу, он үч жаңыртуу. Экөө ууланган TanStack версиялары. Жыйырма эки-он эки: бириктирилди. Жарыялоо жумуш агымы npm C-Iди токен менен иштетет

21:48 — Dependabot жаңыртуусу

1:15 чөйрөдө; даярдоо скрипти аны окуйт, жана жыйырма эки-он жетиде курт жарыялайт ал катары. Токен жеткен ар бир пакеттин беш версиясы, атүгүл эски кошумча долбоор: бардыгы үчүн бир классикалык токен. Токсон беш мүнөттө жүз он версия. Ал түн ортосунан кийин электрондук почта аркылуу билет. Эмне үчүн иштейт. Бир: npm install демейки боюнча чоочун адамдардын жашоо циклинин скрипттерин иштетет, жана git көз карандылыгынын даярдоо скрипти эсептелет.

1:39 Эки: курт бир нерсени каалайт: экинчи факторсуз жарыялай турган токен. Андан кийин ал реестрден ошол тейлөөчүнүн дагы эмнелери бар экенин сурайт, жана баарын өзү менен кайра жарыялайт. Үч: чынжырдагы эч нерсе адам эмес.

Эмне үчүн иштейт

1:51 Бот сунуштайт, конвейер орнотот, жана курт жакшылыкты кайтарат: анын dead-drop бутактары dependabot slash github-actions slash fremen деп аталат. git blame. npm'дин орнотуу модели, элүү беш пайыз: скрипттер орнотулганда иштейт, эскирген орнотула берет, эки факторлуу айланып өтүү токендери бар. TanStack'тин CI, жыйырма беш: аудиттен өтпөгөн тартуу өтүнүчүнүн максаттуу жумуш агымы кэшке жазуу мүмкүнчүлүгү менен форк кодун иштетүү. Жаңыртуу адаттары, он беш: он үч жаңыртуу жыйырма төрт мүнөттө бириктирилген, бөлмөдөгү токен.

2:17 Dependabot, беш: курт анын формасын кийгендей ишенимдүү.

git blame

2:20 Жабыркоо радиусу: кырк эки TanStack пакети. Тогуз жылдыздуу долбоордон жыйырма эки төмөн жагы. Курт Mistral'га жеткенде экосистема боюнча жүз алтымыштан ашык. Ар бир жогорку агымдын версиясы жарактуу кол тамганы алып жүргөн: расмий тарабынан курулган конвейер. Чын. Өкүм, постмортем: SHIP IT. Эки тейлөөчү тең бир күндүн ичинде убакыт белгиси бар постмортемдерди жарыялашат; үч күндүн ичинде, төмөнкү агымдын конвейери ignore-scripts менен орнотулат, курууну жарыялоодон бөлүп, узак мөөнөттүү токенди таштап салат.

Жабыркоо радиусу

2:47 npm'дин демейки жөндөөлөрү өзгөргөн жок. Дүйшөмбү: орнотууда ignore-scripts, жана аны иштеткен жумуштан жарыялоо токени. Мага дагы деле айтууга уруксат берилбеген окуяны жөнөтүңүз, комментарийлерде, же thedailydiff.dev дареги боюнча. Бүгүнкү диф ушул.

Өкүм

3:00 Мен Axrisi'ден Нико. Жоопкерчиликтүү түрдө бириктириңиз.

Булактар

1. TanStack postmortem (Tanner Linsley, May 11, refined May 15)tanstack.com
2. TanStack "Hardening TanStack After the npm Compromise" (May 12)tanstack.com
3. TanStack/router#7383 — the StepSecurity detection issuegithub.com
4. Downstream incident post, @squawk/* (May 12)github.com
5. Downstream hardening post (May 14)github.com
6. The Dependabot PR #246 (opened 21:48 UTC, merged 22:12)github.com
7. @tan_stack advisory post, 21:19 UTCx.com
8. StepSecurity — worm internals, bypass_2fa search, Dependabot-style branch nameswww.stepsecurity.io
9. Socketsocket.dev
10. Aikido — "over 160 packages, including Mistral"www.aikido.dev
11. Hacker News (1,097 points)news.ycombinator.com