ඩිපෙන්ඩබොට් බම්ප් එකකින් පණුවෙක් ප්‍රකාශයට පත් විය. පැකේජ 22ක්.

මෙම වීඩියෝවෙන් ආවරණය වන දේ

• බොට් කෙනෙක්, මිනිසෙක්, පණුවෙක්
• එය සිදු වූ ආකාරය, npm එයට ඉඩ දුන්නේ ඇයි, කාටද දොස් පැවරිය යුත්තේ
• කාලසටහන: විෂ වූ හැඹිලිය
• 21:48 — ඩිපෙන්ඩබොට් බම්ප් එක
• එය ක්‍රියා කරන්නේ ඇයි

පරිවර්තනය කරන ලද පිටපත

මුල් ඉංග්‍රීසි නිරූපණයෙන් පරිවර්තනය කරන ලදී. පවතින ශ්‍රව්‍ය සහ ශීර්ෂ පාඨ YouTube මගින් පාලනය වේ.

බොට් කෙනෙක්, මිනිසෙක්, පණුවෙක්

0:00 බොට් කෙනෙක් පුල් රික්වෙස්ට් එකක් විවෘත කරයි; මිනිසෙක් මිනිත්තු විසිහතරකට පසුව එය ඒකාබද්ධ කරයි. මිනිත්තු අනූපහක් ගතවී, පණුවෙක් ප්‍රකාශයට පත් කර ඇත ඔහුගේ සංස්කරණ එකසිය දහයක් පැකේජ, ඔහු ලෙස. TanStack ගේ පශ්චාත් මරණ පරීක්ෂණයේ ඉහළ ධාරාවේ වේලා මුද්දර ඇත, පහළ ධාරාවේ නඩත්තු කරන්නාගේ අනෙක් සියල්ල ඇත, සහ හැකර් නිවුස් එයට ලකුණු එකොළොස් සියයක් සහ නමක් ලබා දෙයි: Mini Shai-Hulud. එය සිදුවන්නේ කෙසේද, npm එයට ඉඩ දෙන්නේ ඇයි, කාටද දොස් පැවරිය යුත්තේ.

එය සිදු වූ ආකාරය, npm එයට ඉඩ දුන්නේ ඇයි, කාටද දොස් පැවරිය යුත්තේ

0:21 මෙය The Daily Diff, පශ්චාත් මරණ පරීක්ෂණය. මැයි 11, උදෑසන. නැවත නම් කරන ලද fork එකක් TanStack Router ට එරෙහිව pull request එකක් විවෘත කරයි. එය පැය ඇතුළත වැසෙයි, නමුත් බෙන්ච්මාර්ක් වැඩ ප්‍රවාහයක් දැනටමත් එහි කේතය ක්‍රියාත්මක කර ඇත

කාලසටහන: විෂ වූ හැඹිලිය

0:33 නිකුත් කිරීමේ වැඩ ප්‍රවාහය භාවිතා කරන යතුර යටතේ විෂ වූ හැඹිලියක් සුරැක ඇත. දහනව විස්ස. නීත්‍යානුකූල ඒකාබද්ධ කිරීමක් නිකුතුව ක්‍රියාත්මක කරයි. හැඹිලිය නැවත පැමිණේ, ද්විමය ගොනුවක් ධාවකයේ මතකය කියවයි, ප්‍රකාශන ටෝකනය ඔසවා, වලංගු ප්‍රභවයක් සහිත පැකේජ හතළිස් දෙකක් හරහා සංස්කරණ අසූ හතරක් නැව්ගත කරයි. පැකේජ, වලංගු ප්‍රභවයක් සමඟ. පරීක්ෂණ අසාර්ථක වේ. එය කෙසේ හෝ ප්‍රකාශයට පත් කරයි. දහනව හතළිස් හය, StepSecurity පර්යේෂකයෙක් ගැටලුව ගොනු කරයි; UTC නවය වන විට සියල්ල අනුමත නොකෙරේ සහ උපදෙස් ලබා දී ඇත.

0:55 අනුමත නොකළ ඒවා නැති වී නැත: npm යැපෙන දේවල් සහිත කිසිවක් ප්‍රකාශයට පත් කිරීම ප්‍රතික්ෂේප කරයි, එබැවින් එය පැය ගණනාවක් ස්ථාපනය කළ හැකිය. විසිඑක් හතළිස් අට. තරු නවයක ගුවන් දත්ත ව්‍යාපෘතියක, Dependabot එහි සාමාන්‍ය pull request එක විවෘත කරයි: dev-dependencies සමූහය ඉහළ දමන්න, යාවත්කාලීන දහතුනක්. දෙකක් විෂ වූ TanStack සංස්කරණ වේ. විසිදෙක දොළහ: ඒකාබද්ධ කරන ලදී. ප්‍රකාශන වැඩ ප්‍රවාහය npm C-I ටෝකනය සමඟ ක්‍රියාත්මක කරයි

21:48 — ඩිපෙන්ඩබොට් බම්ප් එක

1:15 විෂය පථය; සූදානම් කිරීමේ ස්ක්‍රිප්ට් එකක් එය කියවයි, සහ විසිදෙක දහහතට පණුවා ප්‍රකාශයට පත් කරයි ඔහු ලෙස. ටෝකනයට ළඟා වන සෑම පැකේජයකම සංස්කරණ පහක්, පැරණි අතුරු ව්‍යාපෘතියක් පවා: සෑම දෙයකටම එක් සම්භාව්‍ය ටෝකනයක්. මිනිත්තු අනූපහක් තුළ සංස්කරණ එකසිය දහයක්. ඔහුට මධ්‍යම රාත්‍රියෙන් පසු විද්‍යුත් තැපෑලෙන් දැනගන්නට ලැබේ. එය ක්‍රියා කරන්නේ ඇයි. එක: npm install පෙරනිමියෙන් ආගන්තුකයන්ගේ ජීවන චක්‍ර ස්ක්‍රිප්ට් ක්‍රියාත්මක කරයි, සහ git යැපීමක සූදානම් කිරීමේ ස්ක්‍රිප්ට් ගණනය වේ.

1:39 දෙක: පණුවාට අවශ්‍ය වන්නේ එක දෙයකි: දෙවන සාධකයක් නොමැතිව ප්‍රකාශයට පත් කරන ටෝකනයක්. එවිට එය නඩත්තු කරන්නා සතු වෙනත් දේ රෙජිස්ට්‍රියෙන් අසයි, සහ තමා ඇතුළතින් එය නැවත ප්‍රකාශයට පත් කරයි. තුන: දාමයේ කිසිවක් පුද්ගලයෙක් නොවේ.

එය ක්‍රියා කරන්නේ ඇයි

1:51 බොට් කෙනෙක් යෝජනා කරයි, පයිප්ලයින් එකක් ස්ථාපනය කරයි, සහ පණුවා අනුග්‍රහය ආපසු ලබා දෙයි: එහි dead-drop ශාඛා නම් කර ඇත්තේ dependabot slash github-actions slash fremen. git blame. npm ගේ ස්ථාපන ආකෘතිය, සියයට පනස් පහ: ස්ථාපනය මත ස්ක්‍රිප්ට් ක්‍රියාත්මක වේ, අනුමත නොකළ ඒවා ස්ථාපනය කළ හැකිව පවතී, ද්වි-සාධක-අභිබවා යාමේ ටෝකන පවතී. TanStack ගේ CI, විසිපහ: හැඹිලියට ලිවීමේ ප්‍රවේශය සහිත fork කේතය ක්‍රියාත්මක කරන විගණනය නොකළ pull request target workflow එකක්. හැඹිලියට ලිවීමේ ප්‍රවේශය සමඟ fork කේතය ක්‍රියාත්මක කරන විගණනය නොකළ pull request target workflow එකක්. bump පුරුද්ද, පහළොව: මිනිත්තු විසිහතරක් තුළ ඒකාබද්ධ කරන ලද යාවත්කාලීන දහතුනක්, කාමරයේ ටෝකනය.

2:17 Dependabot, පහ: පණුවා එහි නිල ඇඳුම අඳින තරම් විශ්වාසවන්තය.

git blame

2:20 පිපිරුම් අරය: TanStack පැකේජ හතළිස් දෙකක්. තරු නවයක ව්‍යාපෘතියකින් පහළ ධාරාවේ විසිදෙකක්. පණුවා Mistral වෙත ළඟා වූ පසු පරිසර පද්ධතිය පුරා එකසිය හැටකට අධිකය. සෑම ඉහළ ධාරාවේ සංස්කරණයක්ම වලංගු අත්සනක් රැගෙන ගියේය: නිල විසින් ගොඩනගා ඇත පයිප්ලයින්. සත්‍යය. තීන්දුව, පශ්චාත් මරණ පරීක්ෂණය: SHIP IT. නඩත්තු කරන්නන් දෙදෙනාම දිනක් ඇතුළත වේලා මුද්දර සහිත පශ්චාත් මරණ පරීක්ෂණ පළ කරති; තුනක් ඇතුළත, පහළ ධාරාවේ පයිප්ලයින් ignore-scripts සමඟ ස්ථාපනය කරයි, build ප්‍රකාශනයෙන් වෙන් කරයි, සහ දිගු කාලීන ටෝකනය ඉවත් කරයි.

පිපිරුම් අරය

2:47 npm ගේ පෙරනිමි චලනය වී නැත. සඳුදා: ස්ථාපනය මත ignore-scripts, සහ එය ක්‍රියාත්මක කරන කාර්යයෙන් පිටත ප්‍රකාශන ටෝකනය. ඔබට තවමත් කතා කිරීමට අවසර නැති සිද්ධිය මට එවන්න, අදහස් දැක්වීම්වල, හෝ thedailydiff.dev හි. සහ එය අදට ඇති diff එක.

තීන්දුව

3:00 මම Axrisi වෙතින් නිකෝ. වගකීමෙන් ඒකාබද්ධ කරන්න.

මූලාශ්‍ර

1. TanStack postmortem (Tanner Linsley, May 11, refined May 15)tanstack.com
2. TanStack "Hardening TanStack After the npm Compromise" (May 12)tanstack.com
3. TanStack/router#7383 — the StepSecurity detection issuegithub.com
4. Downstream incident post, @squawk/* (May 12)github.com
5. Downstream hardening post (May 14)github.com
6. The Dependabot PR #246 (opened 21:48 UTC, merged 22:12)github.com
7. @tan_stack advisory post, 21:19 UTCx.com
8. StepSecurity — worm internals, bypass_2fa search, Dependabot-style branch nameswww.stepsecurity.io
9. Socketsocket.dev
10. Aikido — "over 160 packages, including Mistral"www.aikido.dev
11. Hacker News (1,097 points)news.ycombinator.com