NPM heeft 540.000 "malicious" packages (op 3.1 miljoen), hoe

[Juup]

Volgens SonaType heeft NPM 540.000 malicious packages.
Komt uit deze PDF: https://www.sonatype.com/...Source-Malware-Report.pdf

Als ik hier met mijn collega's over praat trekken ze hun schouders op. Who cares.
Ik denk: wat nou als ik straks een domme typo maak en m'n laptop (of het hele bedrijfsnetwerk) wordt door ransomware gelockt?

Hoe zien jullie dat? Zou die statistiek van 540.000 op 3.100.000 packages kloppen?
Wat te doen?

[RobIII]

Dat NPM vol ongewenste rommel staat is al een poos bekend. Andere repositories hebben daar ook last van overigens, hoewel ik wel denk/gok dat NPM het ergst geïnfesteerd van alle is.

Nu gebruik ik zelf amper/geen NPM (ik gebruik NuGet, andere hoek ) maar heb je dit gezien?
New npm features for secure publishing and safe consumption en misschien dat je hier nog wat tips kunt vinden (zoals npm audit bijvoorbeeld).

Over het algemeen prefereer ik alleen packages met een reputatie van een reputabele bron, een flinke userbase etc. Neemt niet weg dat die ook geïnfecteerd kunnen worden op elk willekeurig moment. Maar het is vooral bij de meer "niche" packages dat ik wat dieper duik voor ik daar een download aan waag. Uiteindelijk weet je het nooit 100% zeker.

[ Voor 46% gewijzigd door RobIII op 19-12-2024 22:24 ]

[-MD-]

Zelfs niet-malicious packages kunnen elk moment malicious worden. Elke package die je gebruikt is een potentieel risico.

* -MD- Mompelt iets over colors een paar jaar terug

[Wilke]

Juup schreef op donderdag 19 december 2024 @ 22:03:
Volgens SonaType heeft NPM 540.000 malicious packages.

De gelinkte pdf is een whitepaper, a.k.a. marketing.

Het bedrijf probeert hiermee ongetwijfeld Nexus Firewall te verkopen, een product dat tegen betaling je lokale Nexus repo scant op malware. En, als je niet betaalt ook, maar je dan met grote opzichtige banners vertelt hoeveel packages er vulnerable zouden zijn. Maar niet welke, totdat je betaalt.

Dus wat te doen. In paniek Sonatype betalen om dit gigantische probleem voor je op te lossen, natuurlijk! /s

(Ik wil hiermee overigens niet ontkennen dat er wel degelijk problematische dependencies bestaan.)

[Haan]

RobIII schreef op donderdag 19 december 2024 @ 22:19:

Over het algemeen prefereer ik alleen packages met een reputatie van een reputabele bron, een flinke userbase etc. Neemt niet weg dat die ook geïnfecteerd kunnen worden op elk willekeurig moment. Maar het is vooral bij de meer "niche" packages dat ik wat dieper duik voor ik daar een download aan waag. Uiteindelijk weet je het nooit 100% zeker.

Het probleem bij NPM is echter dat je vaak ongemerkt een heel oerwoud aan sub-dependencies meekrijgt. Ik heb soms het gevoel dat voor iedere standaard handeling (bijv. string toUpper, string concat, etc.) wel een package is gemaakt. Als ik een standaard Angular app door onze OSS scan haal, zitten daar standaard al iets van 1200 (!) NPM package dependencies in, ga dat maar eens bijhouden allemaal

Bij een beetje kale .NET Core app zit je ook al zo op ruim 100 libraries, maar daarvan zijn in ieder geval de meeste nog van Microsoft zelf.

Maar om even terug te komen op de vraag: ja ik zou me daar wel zorgen over maken, in die zin dat het in ieder geval verstandig is om je source code door een OSS scanner te halen (zoals SonaType bijvoorbeeld maar ook Snyk, Mend, Blackduck, .. )

[ Voor 10% gewijzigd door Haan op 20-12-2024 08:45 ]