Information de sécurité : bibliothèques npm ‘colors’ et ‘faker’

information_sécurité_colors_faker
Il y a quelques jours, Marak Squires, le développeur en charge des bibliothèques npm 'colors' et 'faker', a décidé de saboter les bibliothèques, pour dénoncer des problèmes dans le système de financement des projets open-source.

Il y a quelques jours, Marak Squires, le développeur en charge des bibliothèques npm ‘colors‘ et ‘faker‘, a décidé de saboter les bibliothèques, pour dénoncer des problèmes dans le système de financement des projets open-source.

L’infinite loop introduite par le développeur a impacté plusieurs applications utilisant ces bibliothèques en affichant le texte “LIBERTY LIBERTY LIBERTY” et des caractères non ASCII dans les logs des applications.

Cela cause beaucoup de problèmes, car la bibliothèque ‘colors’ reçoit plus de 20 millions de téléchargements par semaine sur npm uniquement et a près de 19 000 projets qui en dépendent. Quant à ‘faker’, la bibliothèque reçoit plus de 2,8 millions de téléchargements par semaine sur npm, et a plus de 2 500 projets qui en dépendent.

Caractères non ASCII trouvés dans les logs d’applications utilisant la bibliothèque npm ‘color’.

Comment vérifier sur votre app Node/js est impactée ?

Tout d’abord, la première chose à faire est de vérifier si votre application utilise les bibliothèques npm ‘colors’ et ‘faker’. Pour ce faire, exécutez une des 2 commandes suivantes :


npm ls colors

Ou


npm ls faker

Ensuite, vous devriez obtenir un résultat de ce type :


my-project@1.2.3 /home/me/my-project
├─┬ @storybook/addon-docs@5.3.18
│ └─┬ vue-docgen-loader@1.5.0
│   └─┬ jscodeshift@0.7.0
│     └── colors@1.4.0  deduped
├─┬ @storybook/vue@5.3.18
│ └─┬ @storybook/core@5.3.18
│   └─┬ cli-table3@0.5.1
│     └── colors@1.4.0  deduped
└── colors@1.4.0

Puis, avec ce résultat, nous pouvons donc identifier que ce projet utilise ‘colors’ directement avec la version 1.4.0 et à travers des dépendances transitives, également dans la version 1.4.0.

Votre app utilise ‘colors’ ou ‘faker’, que pouvez-vous faire ?

Si votre application utilise l’une de ces bibliothèques npm, nous vous invitons à vérifier trois choses :

Vérifier la version

Tout d’abord, vous devez vérifier si vous utilisez l’une des versions impactées de ces bibliothèques :

  • colors: 1.4.1, 1.4.2, et 1.4.44-liberty-2
  • faker: 6.6.6

Vérifier le package-lock.json

Avez-vous un package-lock.json ? Si ce n’est pas le cas, nous vous invitons à lire la documentation et à en ajouter un à votre projet.

Si c’est le cas, vous devez forcer une version qui n’est pas impactée (1.4.0 pour ‘colors’ et 5.5.3 pour ‘faker’). Vous utilisez npm ? Essayez avec le module npm-force-resolutions. Vous utilisez Yarn ? Utilisez le processus décrit dans cette documentation.

Mettez vos outils à jour vers leur dernière version

Enfin, nous vous invitons également à vérifier si les dépendances que vous utilisez ont publié une mise à jour. Par exemple, si vous utilisez Storybook, la v6.4.10 publiée hier corrige le problème.

Une note pour les utilisateurs de Clever Tools

Enfin, si vous utilisez les clever-tools, et que vous les avez installés via npm, mettez-les à jour avec la v2.8.1.

Blog

À lire également

SuperBOL : La révolution du COBOL sur le Cloud

Le COBOL, langage de programmation vieux de plus de 60 ans, continue d’alimenter une grande partie des systèmes informatiques des grandes entreprises mondiales, notamment dans les secteurs financiers et assurantiels.
Entreprise

Clever Cloud accueille les premières startups du Programme UP

Clever Cloud est fier d'annoncer l'arrivée des cinq premières startups sélectionnées pour intégrer son Programme UP, une initiative dédiée à soutenir les jeunes entreprises technologiques en phase de croissance.
Entreprise

Une mise à jour mineure a entraîné une cascade d’erreurs : comment cela s’est passé, ce que nous avons appris

Le vendredi 2 août 2024, la plateforme Clever Cloud est devenue très instable, amenant des indisponibilités de durée et périmètre variables, pour les clients utilisant des services sur la région EU-FR-1 (PAR), et les zones distantes dépendant du plan de contrôle EU-FR-1 (OVHcloud, Scaleway, et Oracle). Les zones privées et on-premises n'ont pas été concernées.
Engineering Entreprise