جيب التمام: على الرغم من حذف النسخة المسمومة من Ledger npmjs، لا تزال هناك ملفات js مسمومة على jsDelivr

نشر مؤسس SlowMist Yu Xian على منصة X أن أطراف المشروع بحاجة حاليًا إلى الاهتمام بحادثة ثغرة Ledger Connect Kit: 1. الوحدة المسمومة من Ledger موجودة على منصة npmjs، بعد أن تم الاستيلاء على حساب npmjs الخاص بموظف سابق عن طريق التصيد الاحتيالي، يمكن للمهاجم إطلاق إصدارات الوحدة المسمومة حسب الرغبة. 2. سيتم تحديث الوحدة المنشورة تلقائيًا إلى jsDelivr CDN. 3. تقدم مجموعة أدوات Ledger's Connect Kit ملف jsDelivr CDN js مباشرةً، وهو ملف خام جدًا، ولا يوجد ربط تجزئة للملف ولا توجد قيود صارمة على الإصدار المستورد. 4. لا يزال الموظف السابق يترك هذه السلطة المهمة. يجب تعزيز آلية إدارة الأمن الداخلي. المبدأ الأسوأ هو أنه إذا تم ارتكاب الشر داخليًا، فهل يمكن تجنبه بشكل فعال واكتشافه في الوقت المناسب؟ 5. تجدر الإشارة إلى أنه على الرغم من حذف النسخة المسمومة من Ledger npmjs، لا تزال هناك ملفات js مسمومة على jsDelivr. هذه الاقتراحات الأمنية مخصصة لأطراف المشروع الأخرى ليتعلموا منها، لا تكن كسولاً، فكل حادث أمني يمثل فرصة جيدة لمراجعة نفسك.