npmとyarnの脆弱性とpostinstall - Cybozu Inside Out | サイボウズエンジニアのブログ

フロントエンドエキスパートチームの小林(@koba04)です。 先日、npmから脆弱性についての発表がありました。 調べていく中でいくつか思うところがあったので解説も兼ねて書いていきたいと思います。 The npm Blog — Binary Planting with the npm CLI npmの利用者としてやるべきことは、 npmのバージョンを6.13.4以上にあげる yarnのバージョンを1.21.1以上にあげる です。 npmのバージョンが6.13.4になったNodeもv8, v10, v12, v13系でそれぞれリリースされたので、そちらを利用することも可能です （yarnのバージョンは別途あげる必要があります）。 nodejs.org npmによる発表では、今回発表された脆弱性は2件あるため、それぞれ個別に考えます。 binに任意のパスを指定出来る件 npmパッケージはpa

[gfx]

エントリ中でも解説あるけど、 `install` script で任意のコードを実行できるので、攻撃者からみると今回の脆弱性を利用する必要はなさそうなんだよなあ。

[teppeis]

npx install-scripts 便利

[Shisama]

先日修正されたnpmの脆弱性について詳しい解説です！またnpm postinstallの危険性やその対策、npm fundについても書かれています！そしてまだ手元のnpmやyarnが古いバージョンの人はすぐにアップデートしてください

[ryuichi1208]

よく分からないパッケージをグローバルインストールしがちな意識の低い私にはとても良い修正のようだ

[progrhyme]

binで指定される実行ファイルに関する脆弱性×2

[ohbarye]

これ、すでに厳しいよなぁ / “ただnpm installするだけでインストールしたパッケージに対して任意のスクリプト実行を許可していることになります”

[hirorock]

2019 npmの脆弱性問題

[toshi-toma]

kobaさんによるnpmとyarnの脆弱性とpostinstallについてのまとめ。今回の脆弱性からnpmの機能や挙動、postinstallやfundingの方向性など勉強になる！