Crynodeb Cod Maleisus Xygeni 73

Bron bob wythnos, mae ein systemau canfod meddalwedd faleisus yn sganio miloedd o becynnau newydd a rhai wedi'u diweddaru ar draws cofrestrfeydd cyhoeddus fel npm a PyPI. Roedd yr wythnos hon yn weithgar iawn.

Fe wnaethon ni gadarnhau 198 o becynnau maleisus, yn bennaf ar draws npm, gydag achosion ychwanegol mewn estyniadau PyPI, OpenVSX, Composer, a VS Code. Ymddangosodd sawl un mewn clystyrau cydlynol, gyda datganiadau maleisus dro ar ôl tro wedi'u cyhoeddi o dan yr un enwau neu ar draws teuluoedd pecynnau cysylltiedig. Achos amlwg oedd y sensivity pecyn, a orlifodd npm gyda dros 60 o fersiynau wedi'u rhyddhau ar draws yr ystod 2.5.x. Roedd clystyrau nodedig eraill yn cynnwys ai-sdk-helpers (8 fersiwn yn targedu datblygwyr AI), @antoncallahan/aws-user-helper (7 fersiwn yn dynwared cyfleustodau AWS), @apple-pay-trust ac @google-pay-trust teuluoedd (yn dynwared modiwlau talu), @frengki0707/google-cloud-clone (5 fersiwn yn ffugio Google Cloud), a cms-storehub, cms-helpgit, a cms-github (targedu CMS pipelines). Roedd llawer o becynnau'n dynwared modiwlau talu a gwirio allan, enterprise a phecynnau gwe mewnol, cleientiaid dadansoddeg, sylfeini UI, cyfleustodau datblygwyr, archwilwyr cydrannau, pecynnau â thema cwmwl a Google, a modiwlau eraill y mae llifau gwaith datblygu modern yn ymddiried ynddynt yn gyffredin.

Nid anomaleddau ynysig oedd y rhain. Yr hyn a safodd allan yr wythnos hon oedd graddfa'r cyhoeddi dro ar ôl tro ar draws yr un teuluoedd pecynnau, ailddefnyddio patrymau enwi, a'r ffordd y cafodd pecynnau maleisus eu cuddio i edrych fel dibyniaethau cyfreithlon y tu mewn i gyflenwi meddalwedd go iawn. pipelines.

Mae'r ciplun wythnosol hwn yn rhan o'n Crynodeb Cod Maleisus parhaus, lle rydym yn dilysu bygythiadau newydd ac yn darparu gwybodaeth ymarferol i helpu timau DevSecOps i amddiffyn eu pipelines cyn i ddifrod ddigwydd.

Gadewch i ni ddadansoddi'r hyn a ganfuom yr wythnos hon a pham ei fod yn bwysig.