ethersphere

У коміті Ethersphere для bee-js 13.3.0 додали postinstall, який запитує скрипт із віддаленого сервера та виконує його динамічно; того ж дня в коміті Swarm Desktop 0.56.2 також додали віддалене виконання коду.

OX Security повідомила про це як про атаку на ланцюг постачання та заявила, що шкідливий код може отримати доступ до локальних даних гаманця. Сам факт встановлення не означає, що корисне навантаження виконалося: наслідки залежать від того, чи запускали його, та від середовища. Розробники можуть перевірити lock-файли й пояснення супровідників щодо виправлення.

Що вас турбує більше: фіксація залежностей чи захист облікових даних для публікації?

Джерела: [офіційний коміт bee-js](https://github.com/ethersphere/bee-js/commit/de2f74e784b2eafa0d66fbb6d88b42ea11ee34cf)｜[офіційний коміт Swarm Desktop](https://github.com/ethersphere/swarm-desktop/commit/2de727046706062d38edfbbf8340f32d1eb2bdfb)｜[аналіз OX Security](https://www.ox.security/blog/ethersphere-hijacked-with-crypto-stealing-malware-via-github-npm/)
Розкриття інформації: ця стаття може відповідати умовам отримання винагороди за програмою Binance Square Write to Earn; право на участь і винагорода визначаються правилами платформи та фактичними результатами. Не є інвестиційною порадою.
#Ethersphere #Безпека