npm install scriptã®è„†å¼±æ€§ã¨ã‚ªãƒ¼ãƒ—ンソースã¨ä¿¡é ¼ - teppeis blog先日アナウンスã•ã‚ŒãŸè„†å¼±æ€§ã¨ãã®å‘¨è¾ºã«ã¤ã„ã¦ã€ã¨ã‚Šã¨ã‚ãªã。 The npm Blog — Package install scripts vulnerability Vulnerability Note VU#319816 脆弱性ã®æ¦‚è¦ VU#319816 ã«ã‚ˆã‚Œã°ã€ä»Šå›žå•é¡Œã«ãªã£ã¦ã„ã‚‹ã®ã¯npmã®ä»¥ä¸‹ã®æ€§è³ªã‚’利用ã™ã‚‹ã¨npmパッケージã§ãƒ¯ãƒ¼ãƒ （自己増殖力ã®ã‚るマルウェア）を作れるã¨ã„ã†ã‚‚ã®ã€‚ ä¾å˜ãƒ‘ッケージã®ãƒãƒ¼ã‚¸ãƒ§ãƒ³ã‚’ãƒãƒƒã‚¯ã›ãšã€semverã«ã‚ˆã‚Šç¯„囲指定ã™ã‚‹ã“ã¨ãŒå¤šã„ CLIã§ä¸€åº¦npmã¸loginã™ã‚‹ã¨ã€æ˜Žç¤ºçš„ã«npm logoutã™ã‚‹ã¾ã§èªè¨¼ãŒæ°¸ç¶šåŒ–ã•ã‚Œã‚‹ npm registry ãŒä¸å¤®é›†æ¨©åž‹ã‚µãƒ¼ãƒãƒ¼ã§ã‚ã‚‹ 具体的ãªæ‰‹æ³•ã¨ã—ã¦ã€Chris Contolini㌠PoC ã¨ã—㦠pizza-party ã¨ã„ã†ãƒªãƒã‚¸ãƒˆãƒªã‚’公開ã—ã¦ã„ã‚‹*1。以下ã®ã‚ˆã†ã«å‹•ä½œã™ã‚‹ã€‚ ワームãŒä»•è¾¼ã¾ã‚Œ
{{#tags}}- {{label}}
{{/tags}}