node-ipcに悪意あるコードが含まれている問題について

node-ipcというnpmパッケージに悪意あるコードが含まれていた問題についてのメモ書きです。 2022-03-15に、node-ipcのメンテナーによって悪意あるコードを含むnode-ipcが公開されていた問題です。 問題のあるバージョン 9.2.2 unpublish済み Hidden functionality in node-ipc · GHSA-8gr3-2gjw-jj7g · GitHub Advisory Database 10.1.1, 10.1.2 unpublish済み Embedded Malicious Code in node-ipc · CVE-2022-23812 · GitHub Advisory Database 11.0.0+ node-ipc behavior change · GHSA-3mpp-xfvh-qh37 · GitHub Advisor

[kotas]

悪意あるコードの内容：ロシアやベラルーシ国内のIPを持つマシン上で実行すると、ファイルを片っ端からハート絵文字で上書きしていく。

[nilab]

「メンテナーによる意図的な混入なので、修正されたバージョンは2022-03-17時点ではありません」

[ka-ka_xyz]

この記事だとボカされてるけど、https://nvd.nist.gov/vuln/detail/CVE-2022-23812 には"that targets users with IP located in Russia or Belarus, and overwrites their files with a heart emoji. "とあり、おもいっきり時局案件なのだな。

[suneo3476z_tn]

ハクティビズムだ

[gfx]

このエントリでは動機に全く触れていないので異様に見えるけど、作者によるロシアに対するソフトウェア的抗議（protestware）ということのよう。挙動としてはマルウェアそのものなので、許されることではないが。

[zu2]

“メンテナーによる意図的な混入なので、修正されたバージョンは2022-03-17時点ではありません”

[yasu-log]

これは・・・

[ShionAmasato]

悪意あるコードって何かと思ったらまさかのそういうやつなのね。気持ちは分かるけどあかんやつだ。

[Shisama]

サプライチェーンについて調べていることのメモ書き参考になります！