Xygeni зиянды код дайджесті 73

Әр апта сайын дерлік, біздің зиянды бағдарламаларды анықтау жүйелеріміз npm және PyPI сияқты қоғамдық тізілімдердегі мыңдаған жаңа және жаңартылған пакеттерді сканерлейді. Бұл апта өте белсенді болды.

Біз растадық 198 зиянды пакет, негізінен npm арқылы, PyPI, OpenVSX, Composer және VS Code кеңейтімдерінде қосымша жағдайлармен. Бірнешеуі үйлестірілген кластерлерде пайда болды, бірнеше рет зиянды шығарылымдар бірдей атаулармен немесе тығыз байланысты пакеттік отбасыларда жарияланды. Ерекше жағдай болды sensivity пакет, ол npm-ді 2.5.x диапазонында 60-тан астам нұсқалы шығарылымдармен толтырды. Басқа да маңызды кластерлер кірді ai-sdk-helpers (Жасанды интеллект әзірлеушілеріне арналған 8 нұсқа), @antoncallahan/aws-user-helper (AWS утилитасын имитациялайтын 7 нұсқа), @apple-pay-trust және @google-pay-trust отбасылар (төлемді тексеру модульдерін имитациялайды), @frengki0707/google-cloud-clone (Google Cloud-ты жалған жасаған 5 нұсқа) және cms-storehub, cms-helpgit, және cms-github (CMS нысанаға алу pipelines). Көптеген пакеттер төлем және касса модульдерін имитациялады, enterprise және ішкі веб-пакеттері, аналитикалық клиенттері, UI негіздері, әзірлеуші ​​утилиталары, компоненттік зерттеушілер, бұлт және Google тақырыбындағы пакеттер және заманауи әзірлеу жұмыс процестерінде кеңінен сенімді басқа модульдер.

Бұл оқшауланған ауытқулар емес еді. Осы аптада ерекше назар аударған нәрсе - сол пакеттік отбасылардағы қайталанатын жарияланымдардың ауқымы, атау үлгілерін қайта пайдалану және зиянды пакеттердің нақты бағдарламалық жасақтама жеткізіліміндегі заңды тәуелділіктер сияқты жасырынуы болды. pipelines.

Бұл апта сайынғы қысқаша сипаттама біздің жалғасып жатқан зиянды код дайджестіміздің бөлігі болып табылады, онда біз жаңа қауіптерді тексереміз және DevSecOps командаларына өз жүйелерін қорғауға көмектесу үшін іс жүзінде қолданылатын ақпарат береміз pipelineзақымдану пайда болғанға дейін s.

Осы аптада не тапқанымызды және оның неліктен маңызды екенін талдап көрейік.