GD
Size: a a a
2021 February 09
GD
Исследователь рассказал как он смог запустить свой код на серверах большого количества компаний
GD
Основная идея - размещение пакетов для различных языков программирования в публичных репозиториях с именами, которые совпадают с приватными пакеты, использующимися внутри компании
GD
Типа вы у себя в закрытом проекте делаете npm i my-company-package, который должен поставиться из приватного фида, но кто-то залил пакет с таким же названием на npmjs и вуаля, вы получили чужой пакет
GD
Причем имена таких пакетов иногда нужно угадать, а иногда можно просто подсмотреть, так как тот же packages.json, как показывает исследование автора, довольно часто включается в итоговые артефакты
GD
Azure Artifacts уже анонсировали изменения для защиты от подобных атак - https://devblogs.microsoft.com/devops/changes-to-azure-artifact-upstream-behavior/
GD
Скорее всего за ними последуют и другие провайдеры репозиториев
GD
Хотя решать проблему скорее всего стоит на уровне пакетных менеджеров
PE
Я может не правильно понял, но в том же package.json что бы поставить Не приватный пакет надо указать полный путь на репозиторий этого пакета, разве нет?
PE
Тоже самое когда форкаешь публичный пакет, допиливаешь под себя и указываешь репозиторий откуда ставить этот пакет
GD
Ну почему, чтобы поставить публичный пакет из npmjs ты просто укажешь его имя - jQuery, к примеру
GD
Тоже самое с приватным пакетом из приватного фида, если фид добавлен в источники
PE
Ну если это публичный пакет, то да, а если не публичный? Если не публичный, то он должен знать откуда ему тянуть его, тоесть должен иметь источник
GD
В компаниях часто используют свои фиды для этого. Ставят artfactory, или подключают myget, github packages и тд. Добавляют их как доп. источник пакетов
GD
npm config set registry https://www.myget.org/F/your-feed-name/npm/
PE
Я так понимаю проблема в приоритетах? Что он чекает сначала публичные, а потом уже частные?
GD
Ага
PE
В компаниях часто используют свои фиды для этого. Ставят artfactory, или подключают myget, github packages и тд. Добавляют их как доп. источник пакетов
Да, я знаю, как-то очень давно работал с этим, организовывали микрорепы под переиспользуемые компоненты и делали типа такого
@companyname/componentname: ^1.1.1
@companyname/componentname: ^1.1.1
GD
Там что чудесно, npm позволяет выполнить произвольный код при установке пакета. То есть даже запускать или собирать приложение не потребуется
PE
Там что чудесно, npm позволяет выполнить произвольный код при установке пакета. То есть даже запускать или собирать приложение не потребуется
А у yarn такая же беда?