Dependabot-ийн шинэчлэлт хортой програмыг нийтлэв. 22 багц.

Энэ видео юуг хамардаг

• Бот, хүн, хортой програм
• Хэрхэн болсон, яагаад npm зөвшөөрсөн, хэн буруутай вэ
• Цагийн хуваарь: хортой кэш
• 21:48 — Dependabot-ийн шинэчлэлт
• Яагаад ажилладаг вэ

Орчуулсан бичлэг

Англи хэл дээрх эх хувилбараас орчуулсан. Боломжтой дуу болон хадмал орчуулгыг YouTube хянадаг.

Бот, хүн, хортой програм

0:00 Бот хүсэлт нээнэ; хүн үүнийг хорин дөрвөн минутын дараа нэгтгэнэ. Ерэн таван минутын дараа, хортой програм нийтэлсэн өөрийнхөө зуун арван хувилбарыг багцуудыг, өөрийнх нь нэрээр. TanStack-ийн алдааны дараах дүн шинжилгээ нь эх үүсвэрийн цагийг, доош урсгалын засварлагчийнхыг нь бусдыг нь агуулдаг ба Hacker News үүнд арван нэгэн зуун оноо болон нэр өгсөн: Мини Шай-Хулуд. Хэрхэн болсон, яагаад npm үүнийг зөвшөөрдөг, хэн буруутай вэ.

Хэрхэн болсон, яагаад npm зөвшөөрсөн, хэн буруутай вэ

0:21 Энэ бол The Daily Diff, алдааны дараах дүн шинжилгээ. 5-р сарын 11, өглөө. Нэрээ өөрчилсөн салаа TanStack Router-т хандах хүсэлт нээнэ. Энэ нь нэг цагийн дотор хаагдах боловч, гүйцэтгэлийн үнэлгээний ажлын урсгал нь кодыг нь аль хэдийн ажиллуулж,

Цагийн хуваарь: хортой кэш

0:33 хортой кэшийг гаргах ажлын урсгал ашиглах түлхүүрийн доор хадгалсан байв. Арван есөн-хорин. Хууль ёсны нэгтгэл гаргалтыг ажиллуулна. Кэш буцаж ирнэ, хоёртын файлын систем гүйлгэгчийн санах ойг уншина, нийтлэх токенийг хулгайлж, дөчин хоёр багцад наян дөрвөн хувилбарыг нийтлэнэ, үнэн зөв гарал үүсэлтэй. Тестүүд амжилтгүй болно. Гэсэн хэдий ч нийтлэнэ. Арван есөн дөчин зургаа, StepSecurity-ийн судлаач асуудлыг бүртгэнэ; есөн UTC гэхэд бүх зүйл хуучирсан бөгөөд зөвлөгөө гарсан байв.

0:55 Хуучирсан гэдэг нь алга болсон гэсэн үг биш: npm хамааралтай зүйлсийг устгахаас татгалздаг, тиймээс хэдэн цагийн турш суулгах боломжтой хэвээр байв. Хорин нэгэн дөчин найм. Есөн одтой нисэхийн мэдээллийн төсөлд, Dependabot өөрийн тогтмол хүсэлтийг нээнэ: хөгжүүлэгчийн хамаарлын бүлгийг шинэчлэх, арван гурван шинэчлэлт. Хоёр нь хортой TanStack хувилбарууд. Хорин хоёр-арван хоёр: нэгтгэсэн. Нийтлэх ажлын урсгал нь npm C-I-г токеноор ажиллуулна,

21:48 — Dependabot-ийн шинэчлэлт

1:15 бэлтгэх скрипт үүнийг уншиж, хорин хоёр-арван долоод хортой програм нийтлэнэ түүний нэрээр. Токен хүрч болох багц бүрийн таван хувилбар, хуучин дагалдах төсөл хүртэл: бүх зүйлд зориулсан нэг сонгодог токен. Ерэн таван минутын дотор зуун арван хувилбар. Тэр шөнийн дунд өнгөрсний дараа, и-мэйлээр мэдэв. Яагаад ажилладаг вэ. Нэг: npm install нь үндсэндээ үл таних хүмүүсийн амьдралын мөчлөгийн скриптүүдийг ажиллуулдаг, мөн git хамаарлын бэлтгэх скрипт тооцогддог.

1:39 Хоёр: хортой програм нэг зүйлийг хүсдэг: хоёр дахь хүчин зүйлгүйгээр нийтлэх токен. Дараа нь бүртгэлээс тэр засварлагчийн өөр юу эзэмшдэгийг асууж, бүгдийг нь өөрөө дотор нь байлгаж дахин нийтлэнэ. Гурав: гинжин хэлхээний юу ч хүн биш.

Яагаад ажилладаг вэ

1:51 Бот санал болгоно, дамжуулах хоолой суулгана, мөн хортой програм хариу үйлдлээ хийнэ: түүний үхсэн буух салбарууд нь dependabot slash github-actions slash fremen нэртэй. git blame. npm-ийн суулгах загвар, тавин таван хувь: суулгах үед скриптүүд ажиллана, хуучирсан нь суулгах боломжтой хэвээр, хоёр хүчин зүйлээс зайлсхийх токенууд байдаг. TanStack-ийн CI, хорин таван: шалгагдаагүй хүсэлтийн зорилтот ажлын урсгал нь кэш рүү бичих эрхтэй салаа кодыг ажиллуулж байна. Шинэчлэх дадал, арван таван: арван гурван шинэчлэлт хорин дөрвөн минутын дотор нэгтгэгдсэн, өрөөнд токен байгаа.

2:17 Dependabot, таван: маш их итгэсэн тул хортой програм түүний дүрэмт хувцсыг өмсдөг.

git blame

2:20 Нөлөөлөх хүрээ: дөчин хоёр TanStack багц. Доош урсгалын хорин хоёр, есөн одтой төслөөс. Хортой програм Mistral-д хүрсний дараа экосистемийн хэмжээнд зуу гаруй. Эх үүсвэрийн хувилбар бүр хүчинтэй гарын үсэгтэй байсан: албан ёсны дамжуулах хоолойгоор бүтээгдсэн. Үнэн. Дүгнэлт, алдааны дараах дүн шинжилгээ: SHIP IT. Хоёр засварлагч хоёулаа нэг өдрийн дотор цаг тэмдэглэгдсэн алдааны дараах дүн шинжилгээг нийтэлсэн; гурвын дотор, доош урсгалын дамжуулах хоолой ignore-scripts-ээр суулгана, үүсгэх болон нийтлэхийг тусгаарлаж, удаан хугацааны токенийг хаяна.

Нөлөөлөх хүрээ

2:47 npm-ийн үндсэн тохиргоо өөрчлөгдөөгүй. Даваа гараг: ignore-scripts-ийг суулгах үед, болон нийтлэх токеныг ажиллуулдаг ажлаас хасах. Одоо хүртэл ярихыг зөвшөөрөөгүй ослоо надад илгээнэ үү, коммент хэсэгт, эсвэл thedailydiff.dev хаягаар. Өнөөдрийн ялгаа энэ байна.

Дүгнэлт

3:00 Би Axrisi-ийн Нико. Хариуцлагатайгаар нэгтгээрэй.

Эх сурвалжууд

1. TanStack postmortem (Tanner Linsley, May 11, refined May 15)tanstack.com
2. TanStack "Hardening TanStack After the npm Compromise" (May 12)tanstack.com
3. TanStack/router#7383 — the StepSecurity detection issuegithub.com
4. Downstream incident post, @squawk/* (May 12)github.com
5. Downstream hardening post (May 14)github.com
6. The Dependabot PR #246 (opened 21:48 UTC, merged 22:12)github.com
7. @tan_stack advisory post, 21:19 UTCx.com
8. StepSecurity — worm internals, bypass_2fa search, Dependabot-style branch nameswww.stepsecurity.io
9. Socketsocket.dev
10. Aikido — "over 160 packages, including Mistral"www.aikido.dev
11. Hacker News (1,097 points)news.ycombinator.com