警告 (CVE-2022-23812): ウクライナ侵攻の抗議目的で peacenotwar モジュールが node-ipc パッケージを通じて npm 開発者を妨害 - Qiita

警告 (CVE-2022-23812): ウクライナ侵攻の抗議目的で peacenotwar モジュールが node-ipc パッケージを通じて npm 開発者を妨害JavaScriptSecurity脆弱性Snyk 本記事は2022年3月16日に発表した弊社の英語ブログAlert: peacenotwar module sabotages npm developers in the node-ipc package to protest the invasion of Ukraineを日本語化した内容です。 2022年3月15日、人気の JavaScript フロントエンドフレームワーク Vue.js のユーザーは、npm のエコシステムに対するサプライチェーン攻撃に見舞われました。これは、パッケージ node-ipc とそこから参照されている peacenotwar に対して、node

[gabill]

Javascriptにも手厚い標準ライブラリが欲しい。他の言語が標準ライブラリで解決するような課題をJSは多種多様な外部ライブラリで解決しようとするから、依存関係が爆発する。

[tito1201]

短い言葉でお気持ち表明するのは憚られる、が、少なくともこの行為に好意的な気持ちにはなれない。

[chiroruxx]

こういった抗議が誰宛てのもので、どのような効果を期待しているのか全くわからんのよな。

[tmatsuu]

日本語記事きてたのね。QiitaだがSnyk公式。

[programmablekinoko]

なぜスクリプト言語であるJSがこれほど依存関係複雑なビルドしなきゃいけないのか、いつも考えながらはや幾年

[yuangao]

こんなんまかり通るとサプライチェーン攻撃怖いからオープンソースを使うなとかなりそうで辛い。

[ghostbass]

composer が #StandWithUkraine とか言うのは「おお」と思った/ ところで nuget も composer もmaven もそういう話は聞かないけど何故だろう

[nilab]

「メンテナー RIAEvangelist の意図的で危険な行為が、一部の人には正当な抗議行為として受け止められるとしても」「依存パッケージとして peacenotwar を追加し、node-ipc が呼び出されたときに peacenotwar を実行」

[ponpon_qonqon]

目的も手段も間違っている。他人のコンピュータに侵略するのが許されるなら、どんな国家主権への侵害も許されるべきだろ。いいかげん、信条と生活を健全に切り離せるようになれよ