npmjs.com で著名ソフトウェアによく似た名前のマルウェアが大量に発見された - Islands in the byte stream

Malicious packages in npm. Here’s what to do | Ivan Akulov’s blog People found malicious packages in npm that work like real ones, are named similarly real ones, but collect and send your process environment to a third-party server when you install them 訳: 悪意のあるパッケージがnpmで発見された。それらは、実際のパッケージによく似た名前で同じように動くが、パッケージのインストール時にプロセスの環境変数を外部のサーバに送信する。 発見されたパッケージの一覧は元エントリをどうぞ。このようなマルウェアである偽パッケージの一例をあげると、 ba

[gfx]

とりいそぎ

[z1h4784]

npmは脆弱性対策をする気がないと堂々宣言しているんだから対処法なんてない。イケてるフロントエンドエンジニアの皆様は是非この点を顧客にもきちんと説明していただきたい

[laiso]

“つまり、 あなただけでなく依存ツリー中の誰かがミスって偽パッケージを使っただけであなたの環境が攻撃対象になる ということです。” きつい

[yasu-log]

これはヤバイ。開発者個人のミスによる漏洩を警戒して「npmを使うな」文化が広がる。npmはOSSの性善説で成り立ってて昔から危ないと思ってたけど、問題が顕著になった印象。

[oooooooo]

gem の bundler じゃなく bundle もいい加減どうにかならないのか

[bps_tomoya]

ひとたび `npm ls` を叩くと分かるんだけれど、直接依存するパッケージがごく僅かでも内部依存が想像以上で見る気を無くしてしまうのだ。

[escape_artist]

そりゃあそうだろうという感想しか

[macoshita]

分かってはいたけどつらい

[marmot1123]

マルウェア判定されたパッケージ名のデータベース共有してチェックをすれば良い気はするが、最初の1人は防げないよなあ……

[aroma_black]

"あなただけでなく依存ツリー中の誰かがミスって偽パッケージを使っただけであなたの環境が攻撃対象になる"

[tmatsuu]

ネームスペース問題か。その意味では他の言語でも狙われる可能性はあるんだけども、標準ライブラリ的なものの存在の有無は大きいのかもしれない。

[tyru]

ウッ

[UDONCHAN]

ひょえ〜

[morygonzalez]

npm 、定期的にこういうの起こってる気がする。

[sho]

「対策がない」って投げ出すんじゃなくて、なんらかの……せめて緩和策くらいは考えたいなぁ、こういうの。

[longroof]

そうよなぁ(；´Д｀)…

[sonots]

げー

[wats2012]

自衛手段としてgithubのリンク無いものは使わないくらいはできるけど、依存モジュールまでは確認してられないからなぁ。

[gabill]

有用なChromeプラグインが買収されてある日突然マルウェアに化ける騒動がよくあるけど、それがこの手のパッケージマネージャで起こったら怖いなぁ。

[crema]

悪意は遍在するんだなぁ。嫌だけど。

[habarhaba]

なにそれ。オープンソースのメリット何もねえ〜〜〜〜〜

[tgoto63]

こわいな

[kawa106]

npm lsをそのまま目で見たら辛いと仰せの方は、元記事にとりあえずチェック用ワンライナーがあるので参考にしては。まあ、grepしてるだけだけどね

[muuran16]

この件セキュリティベンダーと調整中とかじゃなかったっけ？一年以上前に。。 この脆弱性のおかげで、ignore-scriptsを強制してるけど、みんなどうしてるんだろ

[zyzy]

うげげげげ。珍しくnpm触ったタイミングでこれは。

[kfujii]

ああー。

[kazoo_oo]

きつい。

[mirucons]

あの大量のツリーの中から探し出さなきゃいけないわけか…つらい

[Futaro99]

あっ、こわい

[AKIMOTO]

API secretとかが持ってかれちゃうな

[ngyuki]

まじか

[tkysktmt]

“マルウェアである偽パッケージの一例をあげると、 babelcli, d3.js, ffmepg, jquery.js, mysql.js, openssl.js などです。これらのパッケージが依存関係にある場合、tokenなどの秘匿値を再生成すべき”

[kabochatori]

昨年もleftpad削除問題とかあったね。

[uskey]

ぐえーという感じだ

[karupanerura]

うわあ

[rjge]

`npm ls` した段階でめまいがした