Ислоҳ, 4 августи соли 2026. Дар ин дайҷест, ки дар аввал васеъшавии Open VSX номбар шуда буд arcane-spark/ubel:0.1.0 ҳамчун зараровар. Ин таснифот нодуруст буд ва бозхонд карда шуд.
Ҳангоми таҳлили дубораи версияе, ки мо арзёбӣ кардем, мо ягон рафтори зарароварро пайдо накардем. Ин баста сканери амнияти занҷираи таъминот аст ва танҳо дархостҳои берунаи он ба пойгоҳи додаҳои осебпазирии ҷамъиятӣ ва хидмати IP-echo-и оммавӣ равона карда мешаванд.
Вуруд аз ҷадвали зер ва аз пойгоҳи додаҳои ошкоркунии мо хориҷ карда шуд.
Ҳар ҳафта, системаҳои муайянкунии нармафзори зараровари мо ҳазорҳо бастаҳои нав ва навшударо дар феҳристҳои давлатӣ ба монанди npm ва PyPI скан мекунанд.
Ин ҳафта махсусан фаъол буд.
Мо тасдиқ кардем 92 бастаи зараровар, асосан дар саросари данд, бо ҳолатҳои иловагӣ дар PyPI, OpenVSXва ОҳангсозЯкчандтои онҳо дар кластерҳои ҳамоҳангшуда пайдо шуданд ва нашрияҳои зараровари такрорӣ бо ҳамон номҳо ё дар байни оилаҳои бастаҳои ба ҳам наздик нашр шуданд. Бисёриҳо тақлид карданд модулҳои пардохт ва фармоиш, enterprise ва бастаҳои дохилии веб, муштариёни таҳлилӣ, Асосҳои интерфейси корбар, утилитаҳои таҳиягар, кашфкунандагони ҷузъҳо, бастаҳои абрӣ ва Google-и мавзӯъӣва дигар модулҳое, ки маъмулан дар ҷараёнҳои кории таҳияи муосир эътимод доранд.
Инҳо аномалияҳои ҷудогона набуданд. Он чизе, ки ин ҳафта диққати ҳамаро ҷалб кард, миқёси нашри такрорӣ дар як оилаҳои бастаҳо, истифодаи дубораи қолибҳои номгузорӣ ва тарзи пинҳон кардани бастаҳои зараровар ба монанди вобастагиҳои қонунӣ дар дохили таҳвили нармафзори воқеӣ буд. pipelines.
Ин акси ҳафтаина қисми барномаи ҷории мост Рамзҳои зараровари дайҷест, ки дар он мо таҳдидҳои навро тасдиқ мекунем ва барои кӯмак расонидан ба онҳо маълумоти амалиро пешниҳод менамоем Дастаҳои DevSecOps муҳофизат кунанд pipelineс пеш аз он ки зарар расад.
Биёед он чизеро, ки ин ҳафта ёфтем ва чаро он муҳим аст, таҳлил кунем.
| Экосистема | бастаи | таърих |
|---|---|---|
| данд | бо аломати pa: 99.1.10 | Март 27, 2026 |
| pypi | Мутобиқати маҳаллии моҳӣ: 0.2.3 | Март 27, 2026 |
| данд | @alfa.life.mapp/app.web:99.0.13 | Март 27, 2026 |
| данд | @sbt_gitverse/клиенти аналитика: 99.0.1 | Март 27, 2026 |
| данд | @frengki0707/google-cloud-clone: 1.33.1 | Март 27, 2026 |
| данд | @alfa.life.mapp/app.web:99.0.14 | Март 27, 2026 |
| данд | @tochka-ui/foundation:99.0.2 | Март 27, 2026 |
| данд | @frengki0707/google-cloud-clone: 1.38.0 | Март 27, 2026 |
| данд | @frengki0707/google-cloud-clone: 1.38.1 | Март 27, 2026 |
| данд | @frengki0707/google-cloud-clone: 1.39.0 | Март 27, 2026 |
| данд | @frengki0707/google-cloud-clone: 1.43.0 | Март 27, 2026 |
| данд | @frengki0707/google-cloud-clone: 1.44.0 | Март 27, 2026 |
| данд | google-logging-utils-internal: 9.9.9 | Март 27, 2026 |
| данд | google-logging-utils-internal: 1.1.4 | Март 27, 2026 |
| данд | js-component-explorer: 99.9.16 | Март 27, 2026 |
| данд | js-component-explorer: 99.9.17 | Март 27, 2026 |
| данд | @alfa.life.mapp/app.web:99.0.15 | Март 27, 2026 |
| данд | @tochka-ui/foundation:99.0.3 | Март 27, 2026 |
| данд | @alfa.life.mapp/app.web:99.0.16 | Март 27, 2026 |
| данд | @sbt_gitverse/клиенти аналитика: 99.0.4 | Март 27, 2026 |
| данд | @tochka-ui/foundation:99.0.4 | Март 27, 2026 |
| данд | kl-b2c-ui-kit:99.0.1 | Март 27, 2026 |
| данд | @tw-utils/static:99.0.1 | Март 27, 2026 |
| данд | @tw-models/нигоҳдорӣ: 99.0.1 | Март 27, 2026 |
| данд | @tw-marionette/clipboard:99.0.1 | Март 27, 2026 |
| данд | @tw-marionette/input:99.0.1 | Март 27, 2026 |
| данд | @ozon-complt/split:99.0.1 | Март 27, 2026 |
| данд | @apple-pay-trust/destroy:99.0.1 | Март 27, 2026 |
| данд | @apple-pay-trust/merchant-session:99.0.1 | Март 27, 2026 |
| данд | @apple-pay-trust/start: 99.0.1 | Март 27, 2026 |
| данд | @google-pay-trust/finish:99.0.1 | Март 27, 2026 |
| данд | @apple-pay-trust/finish: 99.0.1 | Март 27, 2026 |
| данд | @apple-pay-trust/validate-merchant:99.0.1 | Март 27, 2026 |
| данд | @alfa.life.mapp/app.web:99.0.17 | Март 27, 2026 |
| данд | @zirutan/utils:1.0.2 | Март 27, 2026 |
| данд | @zirutan/utils:1.0.4 | Март 27, 2026 |
| данд | гузориши-ng:1.0.2 | Март 27, 2026 |
| данд | kl-b2c-ui-kit:99.0.2 | Март 27, 2026 |
| данд | @apple-pay-trust/authorize-payment: 99.0.2 | Март 27, 2026 |
| данд | @google-pay-trust/authorize-payment:99.0.2 | Март 27, 2026 |
| данд | @ozon-complt/antibot-handler:99.0.2 | Март 27, 2026 |
| данд | @sbt_gitverse/клиенти аналитика: 99.0.5 | Март 27, 2026 |
| данд | @tw-models/нигоҳдорӣ: 99.0.2 | Март 27, 2026 |
| данд | клонинги франк-бот-гогл: 1.1.0 | Март 27, 2026 |
| данд | тадқиқоти франк-пок-апп: 1.1.4 | Март 27, 2026 |
| данд | @google-pay-trust/init-google-pay-result:99.0.2 | Март 27, 2026 |
| данд | @google-pay-trust/start:99.0.2 | Март 27, 2026 |
| данд | @b2b_blocker/show_activation_error:99.0.2 | Март 27, 2026 |
| данд | @promocode_business/cancel_promocode:99.0.2 | Март 27, 2026 |
| данд | @promocode_business/apply_promocode:99.0.2 | Март 27, 2026 |
| данд | @b2b_blocker/ҳифз_фаъолсозӣ_хато:99.0.2 | Март 27, 2026 |
| данд | Apple-Internal-pki-utils: 1.0.1 | Март 27, 2026 |
| данд | Apple-internal-pki-trust-v5:1.0.0 | Март 27, 2026 |
| данд | @2011-08-19/n:99.9.9 | Март 28, 2026 |
| данд | @combinezone/мавзӯъ: 99.9.10 | Март 28, 2026 |
| данд | маниноҳо: 1.3.0 | Март 28, 2026 |
| данд | @inheritdoc/n:99.9.9 | Март 28, 2026 |
| данд | @mts-pay/web-sdk:99.9.9 | Март 28, 2026 |
| данд | @cashback/чӣ тавр-кор мекунад-виджет: 99.9.9 | Март 28, 2026 |
| данд | @cashback/pochta-premium: 99.9.9 | Март 28, 2026 |
| данд | @toprimitive/nif:99.9.9 | Март 28, 2026 |
| данд | @tostringtag/nsettostringtag:99.9.9 | Март 28, 2026 |
| данд | мудири rtms: 1.4.0 | Март 28, 2026 |
| данд | vscode-component-explorer:99.9.15 | Март 28, 2026 |
| Композитор | dot-env-it/laravel-core-helper:v1.0.0 | Март 28, 2026 |
| данд | Виҷетҳои uipath-ui: 1.0.1 | Март 28, 2026 |
| данд | Барномаҳои мустақил: 1.0.1 | Март 28, 2026 |
| данд | аполлон-фуруд: 1.0.1 | Март 28, 2026 |
| данд | раванди барнома-вазифа: 1.0.1 | Март 28, 2026 |
| данд | Аполлон-вертекс: 1.0.1 | Март 28, 2026 |
| данд | @taxmoninor/taxmon:99.0.6 | Март 28, 2026 |
| данд | @alfa.life.mapp/app.web:99.0.19 | Март 28, 2026 |
| данд | @apiary-annex/meta:99.0.4 | Март 28, 2026 |
| данд | @apple-pay-trust/бекор карда шуд: 99.0.3 | Март 28, 2026 |
| данд | @apple-pay-trust/check-apple-pay:99.0.3 | Март 28, 2026 |
| данд | @apple-pay-trust/check-apple-pay:99.0.4 | Март 28, 2026 |
| данд | @apple-pay-trust/finish: 99.0.3 | Март 28, 2026 |
| данд | @apple-pay-trust/merchant-session:99.0.4 | Март 28, 2026 |
| данд | @apple-pay-trust/merchant-session:99.0.3 | Март 28, 2026 |
| данд | @apple-pay-trust/finish: 99.0.4 | Март 28, 2026 |
| данд | @apple-pay-trust/destroy:99.0.4 | Март 28, 2026 |
| данд | @apple-pay-trust/destroy:99.0.3 | Март 28, 2026 |
| данд | @pyme-web/web-api:99.0.4 | Март 28, 2026 |
| данд | @google-pay-trust/authorize-payment:99.0.4 | Март 28, 2026 |
| данд | @google-pay-trust/finish:99.0.3 | Март 28, 2026 |
| данд | @google-pay-trust/init-google-pay:99.0.4 | Март 28, 2026 |
| данд | @google-pay-trust/start:99.0.4 | Март 28, 2026 |
| данд | kl-b2c-ui-kit:99.0.3 | Март 28, 2026 |
| данд | @ozon-complt/antibot-handler:99.0.3 | Март 28, 2026 |
| данд | @ozon-complt/antibot-handler:99.0.4 | Март 28, 2026 |
| данд | @tw-models/нигоҳдорӣ: 99.0.3 | Март 28, 2026 |
| данд | @w3m-барнома/пайваст_шуда:99.0.4 | Март 28, 2026 |
| данд | @w3m-frame/session_update:99.0.4 | Март 28, 2026 |
| данд | accesso-angular-cache-buster: 99.9.0 | Март 29, 2026 |
| данд | accesso-angular-cache-buster: 99.0.0 | Март 29, 2026 |
| данд | hpsetup: 2.0.0 | Март 29, 2026 |
Вобастагии кушодаасоси худро аз осебпазириҳо ва рамзи зараровар муҳофизат кунед
Хатарҳоро кам кунед ва барномаҳои худро аз бастаҳои зараровар муҳофизат кунед Муайянкунии барвақтии нармафзори зараровари Xygeni. Осебпазириҳоеро, ки аз ҳама муҳимтаранд, афзалият диҳед ва онҳоро бартараф кунед. Ҳалли ҳамаҷонибаи мо мониторинги воқеии вобастагиҳои шуморо пешниҳод мекунад, то таҳдидҳоро пеш аз таъсир расонидан ба нармафзори шумо муайян ва коҳиш диҳад.
Идоракунии ҷузъҳои кушодаасос дар фазои кунунии таҳияи нармафзор аз сабаби афзоиши осебпазириҳо ва таҳдидҳои рамзи зараровар муҳим аст. Xygeni Open Source Security Ҳалли масъала бастаҳои зарароварро пас аз нашр скан ва масдуд мекунад ва хатари ворид шудани нармафзори зараровар ва осебпазириҳоро ба системаҳои шумо ба таври назаррас кам мекунад. Мониторинги ҳамаҷонибаи мо якчанд феҳристҳои оммавиро дар бар мегирад ва кафолат медиҳад, ки ҳамаи вобастагиҳо барои бехатарӣ ва якпорчагӣ тафтиш карда мешаванд. Xygeni қобилияти дастаи шуморо барои нигоҳ доштани лоиҳаҳои нармафзори бехатар ва боэътимод тавассути афзалият додан ба масъалаҳои муҳим аз ҷиҳати контекстӣ ва осон кардани равандҳои соддакардашудаи ислоҳкунӣ беҳтар мекунад.
Xygeni аз усулҳои бисёрқабата барои боздоштани рамзи зараровар пеш аз паҳншавӣ истифода мебарад. Пеш аз ҳама, таҳлили рамзи статикӣ намунаҳои нофаҳмо, борҳои пинҳон ва сӯиистифода аз скриптро муайян мекунад. Илова бар ин, таҳлили қуттии реги рафторӣ насб мекунад hooks, фармонҳои вақти иҷро ва ҳилаҳои устуворӣ. Ғайр аз ин, муайянкунии омӯзиши мошинӣ вариантҳои нармафзори зараровари npm-и рӯзи сифр ва нармафзори зараровари pypi-ро, ки сканерҳои имзо аз даст додаанд, муайян мекунад. Ниҳоят, Системаи огоҳкунии барвақт анборҳои оммавиро дар вақти воқеӣ назорат мекунад, натиҷаҳоро тасдиқ мекунад ва фавран ба дастаҳои DevOps огоҳӣ медиҳад.
Дар натиҷа, ин омезиш кафолат медиҳад, ки таҳиягарон иттилооти зуд ва амалӣ, ки мустақиман ба он ворид карда мешаванд, мегиранд. CI/CD коргарон.
Чаро таҳиягарон бояд дар бораи бастаҳои зараровари npm ғамхорӣ кунанд
Таҳдидҳои муосир хеле кам вақти иҷроро интизор мешаванд. Масалан, бастаҳои зараровари npm аксар вақт ҳангоми насб иҷро мешаванд, дар ҳоле ки бастаҳои зараровари pypi эксфилтратсияи токен ё дарҳои қафоро пинҳон мекунанд. Ҳамлагарон:
- Барои такрор кардани анборҳои GitHub-и хусусӣ, онҳоро ба public гардонед.
- Бо истифода аз маълумотҳои рамзгузоришуда эътимодномаҳо ва асрорро хориҷ кунед.
- Барои ҷойгиркунии нармафзори ransomware ё ботнетҳо аз боркунакҳои JavaScript-и норавшан истифода баред.
Дар асл, бастаҳои зараровари кушодаасос дар як сол 156% афзоиш ёфтанд. Аз ин рӯ, дастаҳое, ки танҳо ба каналҳои таъхиршуда ё сканерҳои оддӣ такя мекунанд, аз ин ҷиҳат ақиб мемонанд.
Он чизеро, ки ин гузориши нармафзори зараровар дар npm ва PyPI пайгирӣ мекунад
Ин дайҷест маркази асосӣ барои:
- Бастаҳои зараровари npm тасдиқ шуданд
- Бастаҳои зараровари pypi тасдиқ шуданд
- Муайянкунии рамзи зараровар дар асоси рафтор
- Ҳодисаҳои тасдиқшудаи сабти ном
- Хулосаҳои гузоришҳои ҳафтаина ва моҳонаи нармафзори зараровар
- Рӯйхати тағйироти таърихии ҳамаи ёфтаҳои нармафзори зараровари npm ва нармафзори зараровари pypi
Ба ибораи дигар, он як нуқтаи истинодро фароҳам меорад. Гурӯҳи тадқиқотии Xygeni ин саҳифаро ҳар ҳафта бо истинодҳо ба таҳлилҳои пурраи техникӣ ва IOC-ҳои GitHub навсозӣ мекунад.
Чӣ тавр аз бастаҳои зараровари npm ва нармафзори зараровари PyPI муҳофизат кардан мумкин аст
Аз сабаби ин хатари афзоянда, ташкилотҳо ба ҳимояи қавӣ ниёз доранд:
- Насбҳои танҳо барои файлҳои қулфшаванда (
npm ci) дар CI/CD. - Илова бар ин, вобастагиҳои сканкунӣ бо истифода аз муҳаррики огоҳкунии барвақти Xygeni пешакӣ насб карда мешаванд.
- Ғайр аз ин, блок бо истифода аз сигналҳои рамзи зараровар сохта мешавад. Guardrails.
- ҳосил кардан SBOMс барои пайгирии вобастагиҳои ғайримустақим ва татбиқи сиёсатҳо.
- Пеш аз ҳама, ба таҳиягарон омӯзонед, ки хатогиҳои чопӣ, печидашавӣ ва скриптҳои насби шубҳанокро муайян кунанд.
Асбобҳои ошкоркунии нармафзори зараровари Xygeni-ро санҷед
Xygeni пешниҳод мекунад:
- Муайянкунии вақти воқеӣ аз рамзи зараровар, аз ҷумла backdoors, нармафзори ҷосусӣ ва ransomware.
- Баръакси сканерҳои оддӣ, таҳлил дар саросари npm, PyPI, Maven, NuGet, рубигемс, Ва бештар.
- Вақте ки гузориши нармафзори зараровар хатарро муайян мекунад, ба таври худкор бастани сохтмон.
- Маълумоти истифодабарӣ, санҷиши обрӯи нигоҳдоранда ва ошкор кардани аномалияҳо.
