Tags:
Node Thumbnail

RIAEvangelist นักพัฒนาโมดูล node-ipc ที่ได้รับความนิยมสูง ใส่โค้ดเพื่อลบไฟล์ผู้ใช้หากตรวจสอบไอพีแล้วพบว่าผู้ใช้อยู่ในรัสเซียหรือเบลารุส ไม่ว่าผู้ใช้จะติดตั้งโมดูลโดยตรงหรือติดตั้งจาก dependency โมดูลอื่นๆ ก็ตาม

ทาง GitHub ออกมาประกาศว่าเวอร์ชั่น 10.1.1 และ 10.1.2 ที่ผู้ดูแลใส่โค้ดเข้ามานี้เป็นช่องโหว่ร้ายแรงระดับวิกฤติ ตอนนี้ทาง NPM ได้ลบเวอร์ชั่นเหล่านี้ออกแล้ว และมีการอัพเดตเป็นเวอร์ชั่น 10.1.3

แนวทางการโจมตีผู้ใช้บน NPM ที่ดาวน์โหลดโมดูลมาติดตั้งเริ่มมีบ่อยขึ้นเรื่อยๆ ในช่วงหลัง เมื่อต้นปีที่ผ่านมาผู้พัฒนาโมดูล color.js ก็ใส่โค้ดมุ่งร้ายเอง แต่ไม่ได้ทำอะไรร้ายแรงไปกว่าการพิมพ์ขยะไม่รู้จบจนโปรแกรมค้างเท่านั้น ครั้งนี้น่าจะเป็นครั้งแรกๆ ที่โมดูลมุ่งร้ายโดยมุ่งทำลายข้อมูลในเครื่องจริงๆ

ตอนนี้หน้า issue ของโครงการเต็มไปด้วยการประท้วงจากนักพัฒนาที่ไม่พอใจผู้ดูแลโครงการที่ใส่โค้ดมุ่งร้ายเช่นนี้

ที่มา - The Register

No Description

Get latest news from Blognone

Comments

By: api on 18 March 2022 - 12:53 #1243778

ประท้วงด้วยการใส่ช่องโหว่เลยทำคนอื่นซวยกันถ้วนหน้าไปด้วย

By: big50000
AndroidSUSEUbuntu
on 18 March 2022 - 13:11 #1243781
big50000's picture

นักพัฒนาพวกนี้ควรแยกแยะระหว่างโลกออนไลน์และโลกจริงให้ออกก่อน ไม่ก็ควรไปพบจิตแพทย์

By: 7
Android
on 18 March 2022 - 14:09 #1243783
7's picture

มันจะกระทบกับความน่าเชื่อถือของตัวเองนะแบบเนี้ย

By: waroonh
Windows
on 18 March 2022 - 14:22 #1243787

ถ้าเราเปรียบเทียบ รัสเซียบุกยูเครน เหมือนมีนักเลงมาตะโกนอยู่หน้าบ้าน
EU เพื่อนบ้าน .. ไม่บุกหลอก
NATO ยามหมู่บ้าน .. ไม่กล้าทำหลอกขู่เฉยๆ
USA ตำรวจ .. ไม่มีใครตายก็ถือว่ายังไม่ผิดไม่มา ไม่สน ไม่ช่วย

นักเลงเดินเข้ามาในบ้านทุบประตู
EU เพื่อนบ้าน, NATO ยามหมู่บ้าน, USA ตำรวจ .. นั่งโพสให้กำลังใจบน live Facebook

นักเลง บุกเข้ามาในบ้าน ทุบตีลูกเมีย
EU เพื่อนบ้าน, NATO ยามหมู่บ้าน .. โยนปืนให้ทางหน้าต่าง พร้อมโพสให้กำลังใจว่า สู้ว์เค้านะ
USA ตำรวจ .. อายัดบัญชี ธ. เพื่อให้นักเลงซื้อของบน internet ไม่ได้

...

ทำไมไม่ รวมตัวกันทุกชาติที่ UN ใช้มติสหประชาชาติ เหมือนตอนบุก อีรัก หว่า ?
มันมีอะไรข้างใต้ ที่ออกข่าวไม่ได้ อีกเยอะหรือเปล่าน้า

By: blueautumn
iPhoneWindows PhoneWindows
on 18 March 2022 - 14:39 #1243792 Reply to:1243787

รัสเซียเป็นสมาชิกถาวร UN วีโต้ได้ … เอวัง

By: hisoft
ContributorWindows PhoneWindows
on 18 March 2022 - 16:32 #1243800 Reply to:1243792
hisoft's picture

+1 เงื่อนไขวีโต้นี่เป็นอะไรที่บ้าบอมาก ออกมาได้ยังไง

By: IDCET
Contributor
on 18 March 2022 - 16:39 #1243801 Reply to:1243792

เว้นแต่จะมีการหารือ หรือประชุม แล้วลงผลมติให้รัสเซียออกจาก UN หรือลดระดับจากสมาชิกถาวร เป็นสมาชิกปกติเหมือนประเทศอื่นๆ ไปแทน ถ้าคิดจะทำ และกล้าจะแหกกฎเสียเอง, ออกมติเป็นกรณีพิเศษ หรือแก้ไขกฎใหม่มาแก้ไข

ซึ่งแน่นอนว่าทำไม่ได้ เพราะจีนที่เป็นสมาชิกถาวรจะ Veto มติเช่นกัน


ความล้มเหลว คือจุดเริ่มต้นสู่ความหายนะ มีผลกระทบมากกว่าแค่เสียเงิน เวลา อนาคต และทรัพยากรที่เสียไป - จงอย่าล้มเหลว

By: hisoft
ContributorWindows PhoneWindows
on 18 March 2022 - 16:58 #1243804 Reply to:1243801
hisoft's picture

รัสเซีย veto เองก็ได้หรือเปล่านะครับ?

ถ้าเราตั้งชื่อมติว่า "ไม่ขับ…ออกจากสมาชิกถาวร" แล้วให้ใครสักคน veto มันจะเป็นยังไงนะ

By: wwwangel
ContributorAndroidUbuntuWindows
on 18 March 2022 - 16:50 #1243802 Reply to:1243787
wwwangel's picture

สงครามอิรักครั้งไหนครับ ที่ UN มีมติให้บุก


-- ^_^ --

By: naja_return
AndroidWindows
on 18 March 2022 - 17:07 #1243806 Reply to:1243787

มติ UN GA เป็น non-legal binding ครับที่ voteๆ กันไปก็ได้แค่ ประณาม

ถ้าจะให้ Legal Binding ต้องผ่าน UN Security Council (UNSC) ซึ่ง Russia นอกจากเป็น Permanent Member ก็จะมีสิทธิ์ veto แล้วตอนนี้ยังเป็นวาระที่ Russia เป็น President ของ UNSC ด้วย

หรือ International Court of Justice (ICJ) ที่ Legal Binding หากไม่ทำตาม UNSC ก็จะเป็นผู้ออกคำสั่งเพื่อตอบโต้การไม่ทำตาม คำสั่ง ICJ
ซึ่งในที่นี้ ถ้า Russia ไม่ทำตาม ICJ ก็สามารถ veto ในขั้นตอนการตอบโต้ ใน UNSC อีกทีครับ

ตามที่ผมเข้าใจ ปัญหาตอนนี้คือ ถ้า 5 permanent member ของ UNSC สร้างปัญหาอะไร
UN เองแทบจะทำอะไรไม่ได้เลยเพื่อแก้ไข

สุดท้ายก็ "ขาใหญ่จะทำอะไรก็ได้"

By: PandaBaka
iPhoneAndroidWindows
on 18 March 2022 - 17:01 #1243807 Reply to:1243787
PandaBaka's picture

NATO น่าจะเป็นยามของหมู่บ้านข้างๆ ครับ แล้วยามถูกนักเลงขู่ว่าถ้า รปภ.วิ่งมาสู้เองจะยกแกงค์ บุกไปเผาหมู่บ้านข้างๆ ด้วย

By: waroonh
Windows
on 19 March 2022 - 08:08 #1243841 Reply to:1243787

เห็นความสามารถของแต่ละองค์กรแล้วนะครับ

EU ร่วมมือทางการเงินนะครับ ไม่ใช่การทหาร

NATO ร่วมมือทางการทหาร มีปัญหาคือ ถ้าไม่โดนโจมตี ก็ประกาศสงครามไม่ได้
ประกาศสงครามไม่ได้ จะสั่งทหารไม่ได้
แต่ประกาศสงครามทุกประเทศต้องรบพร้อมกัน มันจะมีคนไม่อยากรบอยู่ในกลุ่มเสมอ

UN ไม่สามารถประกาศรบด้วยตัวเองได้ ตอนอีรัก คนยื่นคือ สหรัฐ มันเลยมีคนตีความว่า ให้ส่งกำลังบุกเข้าไปได้ จริงๆ ไม่ต่างจาก ที่รัสเซียทำตอนนี้ซักเท่าไหร่ แต่ไม่มีใครว่าเพราะเค้าคือ สัญลักษณ์ของประชาธิปไตย มันจะผิดได้ยังไง จริงมั้ย ?

ICJ (ศาลโลก) มีคำสั่งตัดสินได้ เช่น.. ถอนทหารเดี๋ยวนี้น๊าาาา แต่ถ้าไม่ทำตาม ก็ไม่มีบทลงโทษ

โลกมันทำงานแบบนี้แหละ

ถ้า อินเดีย จีน ซาอุ UAE รัสเซีย ใช้โอกาศอันดีนี้ปลด lock ขายน้ำมัน หรือ โอนเงิน ทั้งสองอย่างนี้ ต้องแลกเป็น USD ก่อน ค่อยซื้อขาย หรือโอนได้ ก็ตัวใครตัวมันนะครัช เศรษฐกิจประเทศที่ผูกกับ สหรัฐจะพินาศอีกเยอะ

By: mementototem
ContributorJusci's WriterAndroidWindows
on 18 March 2022 - 23:41 #1243830
mementototem's picture

แย่มาก แล้วยังไม่หยุดอีก ตอนนี้ถึงจะไม่ลบไฟล์ทิ้งแต่สร้างไฟล์ขึ้นมาในที่ที่ไม่ควร (Desktop) มันก็แย่อยู่ดี

พอไปอ่านหลาย ๆ ที่แล้ว ยังปากแข็งบอกว่า ไม่ได้ทำ แล้วยัง obfuscated ไฟล์ และตั้งชื่อหลอกอีก จงใจขนาดนั้น

พอโดนว่าหนักเข้าก็ลบแก้ข้อความใน issue เพื่อซ่อนอีก แล้วยังไปขอให้คนอื่นให้อภัยกับสิ่งที่ทำลงไป เฮ้อ

โปรแกรมใหญ่ ๆ ที่โดน ที่ผมรู้มี Unity กับ Vue CLI (ทั้งสองตัวออกเวอร์ชั่นแก้มาแล้วนะครับ)


Jusci - Google Plus - Twitter

By: ppJr
iPhoneAndroidUbuntu
on 18 March 2022 - 23:30 #1243832

มันต้องแยกความเห็นส่วนตัวกับความรับผิดชอบออกจากกัน

By: songwut on 19 March 2022 - 16:52 #1243858

ก็ไม่ควรหว่านแหแบบนั้นครับ มันผิดหลักมนุษยธรรม

By: illuminator
ContributorAndroidUbuntuWindows
on 20 March 2022 - 02:40 #1243873
illuminator's picture

วันดีคืนดีถ้ามีใครเกลียดองค์กรหรือประเทศที่เราอยู่ก็แค่ publish malware มาลบทุกอย่างในเครื่องเราง่ายๆเลยเนอะ
ล่าสุดก็เห็นปิดปากทุกคนที่ต่อว่าเขาใน issue กับ YouTube แล้ว
issue บางอันที่ CVE-2022-23812 อ้างอิงก็ถูกลบทิ้ง
issue ที่ repo อื่นใช้เตือนใช้อ้างอิงก็ถูกลบด้วย