Problém s npm 5.7.0 na Linuxech

Ve středu vydaná "npm@next" verze 5.7.0 správce balíčků pro JavaScript npm (Wikipedie, Node Package Manager) přinesla řadě uživatelů Linuxu nečekanou nepříjemnost. V závislosti na způsobu instalace a ve spojení s příkazem sudo mohlo dojít ke změně vlastníka u systémových souborů, také například /. Chyba je opravena v před několika hodinami vydané verzi npm 5.7.1 [reddit].

23.2.2018 12:22 | Ladislav Hagara | Bezpečnostní upozornění

Komentáře

s/Linuxech/Linuxu

[amaterzPrahy]

Nešlo by to napsat česky? nerozumim ničemu

[Bill Gates]

Někdo by měl zakázat Hagarovi psát zprávičky, když se zpraží jak arašíd..

[biolog]

Chápal bych, že pro updejtování JavaScriptových knihoven bude potřeba ten příkaz spustit jako auživatel, který má přístup do adresáře s určitou webovou aplikací. Ale proč to teda lidé spouštějí pod rootem?

[koroptev]

no mne zase hlava nebere ze bych mel mit napr "binarku" pro spousteni typescriptu nebo babelu v kazdem jednom projektu s natahanymi tisici soubory zavislosti kdyz je to ideova obdoba veci jako gcc nebo ls ktere chci mit systemwide k dispozici pro vsechny uzivatele

[Petr]

No treba prave kvuli tomu, ze nemate poneti co je v tech 1000 ruznych skriptech co to taha buhvikde z netu...

[koroptev]

to je ekvivalentni vyroku "nechci mit gcc v /bin ale nekde v home uzivatele protoze si nemuzu but jist temi tisici zavislostmi co si to s sebou v distribuci dotaha"; nemuzes protoze to neni v tvych silach; je to stejna vira jako vira v to ze ty js zavislosti budou ok

[OldFrog {Ondra Nemecek}]

To není správná analogie. Do /bin instaluje distribuční balíčkovací systém, kterému z podstaty věci mohu a musím důvěřovat.

Pokud do systému pustím x dalších balíčkovacích systémů (například npm), zvyšuju riziko a pravděpodobnost problémů.

[koroptev]

z jake podstaty veci? vzdyt ta podstata je uplne strjna v obou pripadech..

v obou pripadech se o ty balicky staraji "jen" lidi

[Petr]

U rpm je nejaky spravce, ktery zarucuje urcitou konzistenci, bezpecnost atd., baliky stahujete z jednoho zdroje, u npm se tahaji url tisice souboru z registry a nasledne data ruznych zdroju nad kterymi nema npm zadnou kontrolu. Takze si na server jako root instalujete neco z githubu kde buhvikdo buhvico dal. Uz vidite rozdil?

[Jendа]

Je to něco jako pip - a třeba numpy nebo tensorflow taky chceš mít dostupné pro všechny uživatele, ne?

[playback]

No to rozhodně ne. Na to je virtualenv. Každý ať má, co potřebuje.

[Jendа]

Takže jako na matfyzu budeme mít v homech 500 numpy?

[Conscript89]

A to nemate v distribuci numpy? Prinejhorsim potom patri do /usr/local nebo do /opt, rozhodne ne do /lib, /lib64 nebo /bin

[Jendа]

OK, numpy byl blbej příklad, vezmi si třeba ten tensorflow.

Samozřejmě, pip defaultně instaluje do /usr/local. První komentář tvrdil, že to mají mít uživatelé v home.

[Conscript89]

Hm, tak me to tak samozrejme neprijde, protoze na RHEL-7 pip (z epel repozitare) defaultne instaluje do /bin a /lib.