警告 (CVE-2022-23812): ウクライナ侵攻の抗議目的で peacenotwar モジュールが node-ipc パッケージを通じて npm 開発者を妨害 - Qiita

本記事は2022年3月16日に発表した弊社の英語ブログAlert: peacenotwar module sabotages npm developers in the node-ipc package to protest the invasion of Ukraineを日本語化した内容です。 2022年3月15日、人気の JavaScript フロントエンドフレームワーク Vue.js のユーザーは、npm のエコシステムに対するサプライチェーン攻撃に見舞われました。これは、パッケージ node-ipc とそこから参照されている peacenotwar に対して、node-ipc パッケージのメンテナー (管理者) が抗議行為として妨害したことにより起こりました。 このセキュリティ事件には、あるメンテナーによるディスク上のファイルを破壊する行為と、その意図的な破壊行為をさまざまな形で隠

[gabill]

Javascriptにも手厚い標準ライブラリが欲しい。他の言語が標準ライブラリで解決するような課題をJSは多種多様な外部ライブラリで解決しようとするから、依存関係が爆発する。

[tito1201]

短い言葉でお気持ち表明するのは憚られる、が、少なくともこの行為に好意的な気持ちにはなれない。

[chiroruxx]

こういった抗議が誰宛てのもので、どのような効果を期待しているのか全くわからんのよな。

[tmatsuu]

日本語記事きてたのね。QiitaだがSnyk公式。

[programmablekinoko]

なぜスクリプト言語であるJSがこれほど依存関係複雑なビルドしなきゃいけないのか、いつも考えながらはや幾年

[yuangao]

こんなんまかり通るとサプライチェーン攻撃怖いからオープンソースを使うなとかなりそうで辛い。

[ghostbass]

composer が #StandWithUkraine とか言うのは「おお」と思った/ ところで nuget も composer もmaven もそういう話は聞かないけど何故だろう

[nilab]

「メンテナー RIAEvangelist の意図的で危険な行為が、一部の人には正当な抗議行為として受け止められるとしても」「依存パッケージとして peacenotwar を追加し、node-ipc が呼び出されたときに peacenotwar を実行」