Минобороны США использует Node.js-пакет, который пишет россиянин

Минобороны США использует Node.js-пакет, который пишет россиянин

Минобороны США использует Node.js-пакет, который пишет россиянин

Американская компания Hunted Labs подняла тревогу: один из самых популярных Node.js-пакетов — fast-glob — фактически держится на одном человеке. При этом библиотека используется тысячами проектов по всему миру, включая более 30 систем Минобороны США.

Речь идёт об утилите для поиска файлов по шаблонам. Её автор — разработчик под ником mrmlnc. GitHub-аккаунт и личный сайт связывают его с Яндексом: по данным Hunted Labs, это Денис Малиночкин, живущий в Подмосковье.

С точки зрения безопасности ситуация вызывает вопросы: пакет скачивают более 79 миллионов раз в неделю, он встроен в Node.js-контейнеры и тысячи публичных и частных проектов.

Хотя у fast-glob нет зарегистрированных уязвимостей, библиотека имеет доступ к файловым системам, а значит, теоретически может использоваться для кибератак.

Hunted Labs подчёркивает: сам факт того, что у проекта нет внешнего контроля и дополнительных мейнтейнеров, делает его потенциальной мишенью для злоупотреблений.

«Не каждый кусок кода, написанный россиянином, подозрителен сам по себе. Но такие популярные пакеты без надзора — удобная цель для злоумышленников или государственных структур», — отметил сооснователь Hunted Labs Хейден Смит.

После публикации отчёта сам Малиночкин связался с журналистами. Он подтвердил, что действительно является единственным разработчиком fast-glob, но отверг любые предположения о «скрытых» функциях:

«Никто никогда не просил меня манипулировать проектом, встраивать скрытые изменения или собирать системные данные. Я считаю, что open source строится на доверии и разнообразии», — заявил разработчик изданию The Register он.

В Пентагоне пока не прокомментировали, будут ли отказываться от использования fast-glob.

Эксперты же сходятся в одном: сообществу open source нужно внимательнее следить за тем, кто и как поддерживает критичные проекты. Ведь как выразились в Hunted Labs, «открытому ПО не нужен CVE, чтобы быть опасным. Достаточно доступа, незаметности и беспечности».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Экосистема Security Vision получила сертификат ФСТЭК по 4-му уровню доверия

Платформа Security Vision и модули, созданные на её основе, прошли сертификацию ФСТЭК России. Сертификат соответствия № 4964 от 19 августа 2025 года подтверждает, что решение отвечает требованиям по 4-му уровню доверия, включая контроль отсутствия недекларированных возможностей.

Сертификация распространяется на саму Low-code / No-code платформу с конструкторами контента, а также на все модули, которые на ней разработаны.

В их числе — SOAR и NG SOAR для управления инцидентами, модули инвентаризации и управления активами, система управления уязвимостями и сканер, SIEM, компоненты для взаимодействия с ГосСОПКА и ФинЦЕРТ, решения для управления соответствием, рисками и непрерывностью бизнеса, а также инструменты для поведенческого анализа и Service Desk.

Полученный уровень доверия позволяет использовать Security Vision в государственных системах 1 класса защищённости, на значимых объектах КИИ, в автоматизированных системах управления технологическими процессами, а также в системах, работающих с персональными данными при необходимости 1 уровня защиты.

«Сертификация ФСТЭК по 4-му уровню доверия – это больше, чем соответствие стандарту. Это гарантия надежности экосистемы Security Vision и подтверждение нашего комплексного подхода к защите информации, – отметил CEO Security Vision Руслан Рахметов. – Мы не просто отвечаем требованиям законодательства – мы создаем безопасное пространство для наших заказчиков и партнеров. Особую важность имеет то, что, благодаря инструментарию Low-code / No-code, реализованному в Security Vision, они могут самостоятельно создавать на платформе собственные модули/продукты – не завися от внешних исполнителей, полностью контролируя процесс создания и интеллектуальные права на свою уникальную экспертизу и обеспечивая быстрый выход на рынок, крайне необходимый в текущее время».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru