Google Cloudとコンテナの継続的なセキュリティ
本文の内容は、2022年1月12日にAlberto Pellitteriが投稿したブログ(https://sysdig.com/blog/malicious-modifications-detection-sysdig/）を元に日本語に翻訳・再構成した内容となっております。
colors.jsと faker.jsの2つのパッケージが、使用できないほどに改変されました。原因はさまざまですが、特筆すべきは、これらの依存関係を利用した複数のアプリケーションが関与していたことです。colors.jsはnode.jsのコンソールで色やスタイルのカスタマイズを可能にし、 faker.jsは大量のフェイクデータを生成するテスト目的で広く使用されています。どちらも有効期間中に何億回もダウンロードされており、そのため影響が大きいのです。faker.js 6.6.6（不審な数字）が改ざんされています。影響を受けたバージョンは機能しなくなり、これを使用しているプロジェクトの動作がおかしくなります。また、 readmeファイルが改ざんされ、インターネット上で人気のあるハクティビストについて言及されています。
faker.js リポジトリへのすべてのコミットに endgame タグが追加されました。
faker.js リポジトリ GitHubcolors.js パッケージも破損しましたが、この場合はユーザーのコンソールが無限ループに陥るバグでした。このバグの主な原因は、このコードの一部です。...
require('./extendStringPrototype')();
/* remove this line after testing */
let am = require('../lib/custom/american');
am();
for (let i = 666; i < Infinity; i++) {
if (i % 333) {
// console.log('testing'.zalgo.rainbow)
}
console.log('testing testing testing testing testing testing testing'.zalgo)
}
colors.js リポジトリ Githubfaker.js のパッケージは、最新バージョンでは単純に使用できなくなりました。color.js の最新版では、ユーザーのコンソールが無限ループに陥り、Zalgoテキストシンボル（テキストを不気味に見せるUnicode文字を組み合わせたシーケンス）が表示されることがありました。npm start コマンドを実行した後のコンソールの様子を示しています。
colors.jsの悪意ある動作例faker.js パッケージを使用したい場合は、最新のリリースではもう動作しないことを覚えておいてください。そのため、古いバージョンのいずれかをインストールする必要があります。最新のステーブルバージョン5.5.3です。
脆弱性のない colors.js 再ステーブルバージョン
Sysdigは、インライン・イメージ・スキャン、継続的なスキャン、脆弱性レポートなどの高度なイメージ・スキャン機能を備えています。Sysdigのガイド付きオンボーディングでは、5分以内に設定が完了します。今すぐお試しください！