Разработчик NPM-библиотек colors и faker сломал тысячи приложений

Разработчик NPM-библиотек colors и faker сломал тысячи приложений

Разработчик NPM-библиотек colors и faker сломал тысячи приложений

Пользователи NPM-библиотек с открытым исходным кодом «colors» и «faker» на днях столкнулись с неприятной ситуацией: приложения, в которых задействуются эти библиотеки, выдавали странные данные в консоль или вовсе ломались. Оказалось, что во всём виноват разработчик.

У «colors» на одном только npm насчитываются более 20 миллионов еженедельных загрузок и почти 19 тысяч зависимых проектов. У «faker» результаты скромнее — 2,8 млн еженедельных загрузок и более 2500 зависимых проектов.

Разработчик этих библиотек намеренно ввёл бесконечный цикл, который в конечном счёте поломал тысячи проектов, полагающихся в работе на «colors» и «faker». Результаты уже прочувствовали на себе пользователи популярных проектов с открытым исходным кодом — например, Amazon Cloud Development Kit (aws-cdk). Согласно жалобам, проблемные приложения выдавали в консоль тарабарщину.

 

Первым делом люди подумали, что упомянутые библиотеки были скомпрометированы  (об этом сообщили пользователи здесь, здесь и здесь), однако позже стало понятно, что сам разработчик сознательно опубликовал код, ответственный за проблемы.

Судя по всему, затронуты версии colors.js v1.4.44-liberty-2 и faker 6.6.6. Девелопер заверил всех, что в настоящее время ведётся работа над фиксом, а пользователям просто стоит немного подождать выхода соответствующего патча.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В новом релизе Axiom JDK устранили 4 опасные уязвимости

В новом релизе среды разработки и исполнения Java Axiom JDK разработчики устранили четыре критические уязвимости и добавили более 600 улучшений. Версия создана в соответствии с требованиями стандарта ГОСТ Р 56939-2024 и поддерживает пять релизов с длительной поддержкой для всех платформ.

Как сообщили в компании, обновление вышло в рамках цикла критических патчей безопасности.

В новой версии закрыты четыре критические уязвимости в модулях security-libs, client-libs, xml и JavaFX, выявленные за последние три месяца. Также устранена ошибка переполнения буфера в модуле zic. Кроме того, релиз включает 664 дополнительных улучшения и бэкпорта.

Вендор подчеркнул, что обновления не повлияют на стабильность работы среды, поэтому риск сбоев в работе приложений и фреймворков исключён.

Релиз выпущен для всех LTS-версий Axiom JDK: JDK 8, 11, 17, 21 и 25. По запросу патчи могут быть предоставлены и для более ранних версий, начиная с JDK 6. Загрузить обновления можно в личном кабинете на сайте разработчика.

«Каждая сборка Axiom JDK проходит более 160 000 тестов на десятках аппаратных конфигураций. Это делает платформу ещё более безопасной и эффективной для разработки отечественных сервисов на Java. Обновления платформенного уровня — это отлаженный промышленный процесс, который обеспечивает устойчивость всей ИТ-инфраструктуры. Мы устранили критические уязвимости, провели тщательный аудит и сохранили совместимость. Когда вся экосистема Java-технологий развивается под контролем одного вендора, заказчики получают предсказуемость, стабильность и уверенность в своём технологическом стеке, что позволяет формировать долгосрочную ИТ-стратегию», — отметил Сергей Лунегов, директор по продуктам Axiom JDK.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru