Npm 团队针对新的“二进制植入”错误发出警告
Npm 团队近日发布了安全警报，建议所有用户更新到最新版本（6.13.4），以防止“二进制植入”（binary planting）攻击。Npm 开发人员表示，npm 命令行界面（CLI）客户端受到了安全漏洞的影响，同时包括文件遍历和任意文件（覆盖）写入问题。攻击者可以利用该错误来植入恶意二进制文件或覆盖用户计算机上的文件。
仅在通过 npm CLI 安装受感染的的 npm 软件包期间，才能利用此漏洞。
目前，Npm 团队一直在扫描可能包含旨在利用此 bug 的恶意软件包，暂未发现任何可疑案例。他们认为这并不能保证该 bug 已经被使用过，还是得提高警惕。该团队表示将继续进行监视， “但是，我们不能扫描所有可能的 npm 软件包来源（私有注册表、镜像、git 仓库等），因此尽快更新非常重要。”
相比较之下，该问题对 npm 用户的影响比对 yarn 的影响更大。 因为 npm 不仅是更大的 JavaScript 软件包管理应用，而且还是所有编程语言的更大软件包存储库，拥有超过 350,000 个库。从浏览器到金融应用程序，从台式机到服务器，JavaScript 如今无处不在。因为 npm 在 JavaScript 生态系统中具有如此重要的作用，所以它经常被滥用。
黑客的最终目标是在使用受感染的 npm 软件包构建的应用程序内部发起攻击或植入后门程序，这些应用程序以后可用于从它的用户那里窃取数据。过去有很多这样的案例。曾在 2017 年 8 月，npm 团队删除了 38 个 JavaScript npm 程序包，这些程序包是从其他项目中窃取环境变量而捕获的，旨在收集项目敏感信息，例如密码或 API 密钥。
最新的这个漏洞最初是由德国安全研究员 Daniel Ruf 发现的，他的博客上有更深入的技术报告。最后，再次提醒用户们升级到最新版本，以免遭受攻击。
（稿源：开源中国，封面源自 *** 。）
“Npm 团队针对新的“二进制植入”错误发出警告” 的相关文章
育碧通报网络安全事件 全公司已采取重置密码的预防措施
在周四的一份网络安全公告中，育碧（Ubisoft）证实该公司在上周遭遇了一起“网络安全事件”。尽管攻击尝试似乎未能造成破坏，但出于安全方面的考虑，育碧还是采取了全公司范围内的密码重置措施，以防发生其它意外。在此期间，育碧暂停了部分服务，但坚称没有玩家数据受到损害。截止发稿时，该公司旗下所有游戏和服...
黑客组织 Lapsus$ 发起投票：根据结果公开公司数据
在攻破 NVIDIA 之后，嚣张的黑客组织 Lapsus$ 近日在 Telegram 上发出投票帖，通过投票结果来决定接下来公开哪家公司的数据。在投票选项中包括运营商 Vodafone 的源代码、Impresa 的源代码和数据库、MercadoLibre 和 MercadoPago 的数据库。投票...
谷歌搜索 2021 Webspam 报告：过滤垃圾网站数量是 2020 年的六倍
由周四发布的“网络垃圾”（Webspam）报告可知，谷歌搜索在 2021 年过滤的垃圾网站数量、竟是 2020 年的六倍。据悉，作为 Alphabet 旗下子公司，Google 有一套名为 SpamBrian 的人工智能垃圾过滤系统，并且可在超过 99% 情况下实现“不受垃圾所困扰”（spam-fr...
CPU 又曝大 bug，涉及英特尔、AMD、ARM
2018年，英特尔、AMD、ARM曝出CPU安全事件，引起广泛关注，舆论一片哗然。虽然英特尔公司表示此次事件不仅仅是英特尔，还涉及AMD/ARM等厂商，且CPU 漏洞补丁基本不会给普通用户造成任何影响，但这次bug依旧被定为成行业大事件。 时隔几年，CPU又再次曝出一个大bug，有意思的...
FBI 发出警告：勒索软件集团正在利用财务信息进一步勒索受害者
FBI日前警告称，勒索软件集团正在瞄准涉及重大的、时间敏感的金融事件–如兼并和收购的公司，以此来胁迫受害者支付其赎金要求。FBI在本周写给私营公司的一份咨询中指出，网络犯罪分子在针对参与重大金融事件的公司时往往试图找到非公开信息，如果他们不支付赎金要求网络犯罪分子就会威胁公布这些信息。 “在最初的...
Crypto.com 承认超过 3000 万美元被黑客窃取
在周四凌晨发表的一篇博客文章中，加密货币交易所Crypto.com承认，在1月17日发生黑客攻击后，该公司损失了远远超过3000万美元的比特币和以太坊。事件发生后，该公司被批评一直围绕网络安全问题对外模糊沟通，昨天才由首席执行官Kris Marszalek正式确认。 新的博客文章说，未经授权的提款总...
评论列表
发表评论
