npm install scriptの脆弱性とオープンソースと信頼 - teppeis blog

先日アナウンスされた脆弱性とその周辺について、とりとめなく。 The npm Blog — Package install scripts vulnerability Vulnerability Note VU#319816 脆弱性の概要 VU#319816 によれば、今回問題になっているのはnpmの以下の性質を利用するとnpmパッケージでワーム（自己増殖力のあるマルウェア）を作れるというもの。 依存パッケージのバージョンをロックせず、semverにより範囲指定することが多い CLIで一度npmへloginすると、明示的にnpm logoutするまで認証が永続化される npm registry が中央集権型サーバーである 具体的な手法として、Chris Contoliniが PoC として pizza-party というリポジトリを公開している*1。以下のように動作する。 ワームが仕込まれ

[teppeis]

後半ポエムになった。

[amagitakayosi]

CIでそのパッケージが安全かどうか、副作用があるかチェックして、README.mdにバッジ貼れるサービスあれば便利そう。

[teramako]

JS特有の問題ではなさそう。他言語ではどうしているんだろう？//ぱっと思いつく解決は○○ストアのような承認制だが…。

[yo_waka]

やはりClosureLibraryだな（違

[takezaki]

なんと。古くから指摘されてきたことなのね

[Dai_Kamijo]

npm install scriptの脆弱性とオープンソースと信頼 - teppeis blog — 上條　大 (@Dai_Kamijo) June 4, 2016 from Twitter https://twitter.com/Dai_Kamijo June 04, 2016 at 02:03PM via IFTTT

[nilab]

npm install scriptの脆弱性とオープンソースと信頼 - teppeis blog

[hisasann]

ワーム

[nekonenene]

npm の脆弱性の問題

[manaten]

npmの良さ(の一つ)ってカジュアルなところでそれがjsの性質とも相まってこれだけ広く使われてるのだと思うので、カジュアルとセキュアが相反(？)するところがあるのかなと思いました

[hylom]

ホントnpm loginの仕様はクソだと思った

[rokujyouhitoma]

“あ、そうだ、Closure Library っていうちょうど良いものがあるじゃないですか！なんだ、すべては杞憂だったのか（違う）。”

[barlog]

pm or related.

[bouzuya]

npm から報告されている install run-script で publish させることにより拡散するワームの話とか。

[longroof]

びゃあぁぁぁぁ(；´Д｀)…オープンソースとは…