再保险:作业恶意软件

在星期一,2018年8月13日下午2:01,帕斯卡莫尼耶<pmeunier@cerias.purdue.edu>写道:

在星期一,2018-08-13在-0500年14:44,耶利哥写道:
>在星期一,2018年8月13日,Kurt Seifried写道:
>
》:根据名称解析,以及如何命名空间(或管理
>:不是),它可以被攻击在某些情况下,通过自动化
>:依存关系解析器。再一次,如果有恶意代码
>:分布式和以前有一些我们不想告诉具体的原因
》:人,宁愿忽略它吗?

>
>快速的答案是“是的”,体积。试图跟踪任何网站
>分发恶意软件将是广泛的,至少可以说。
>

好点。我将事情安装通过欺骗更多的领域
社会工程软件工程。如果自动依存关系解析器
安装了这样的事情,那么我想说漏洞驻留在解析器,和
我不关心的每一个可能安装了大量的东西。

例如:

https://blog.npmjs.org/post/141577284765/kik-left-pad-and-npm

显然我可以注册一家名为JSON,劫持JSON NPM和…接管世界。脆弱的代码,一般脆弱的业务流程等等,但我认为我们会更好覆盖事情,而不是无视外面的世界船舶客户的盒装软件。

我们当然希望人们了解相关的安全问题。然而,我
说恶意软件实例CVE的范围,而允许恶意软件的缺陷
安装范围。恶意软件并不是缺陷。

这意味着任何开发人员可以“拒绝”的争端,导致CVE只需说“缓冲区溢出是故意的,这是一个隐藏的秘密”听起来很荒谬,但这样的决定是一个逻辑的结果。我敢肯定这不是我们想要的。

帕斯卡

- - -

Kurt Seifried
kurt@seifried.org