UPDATE 31.10.: Amazon Alexa - ioBroker Skill läuft aus ?

[msauer]

NPM Audit, ausgeführt in /opt/iobroker meldet mir

83 vulnerabilities (17 low, 13 moderate, 46 high, 7 critical)
To address issues that do not require attention, run:
npm audit fix

To address all issues possible (including breaking changes), run:
npm audit fix --force

Some issues need review, and may require choosing

Für einige (ms <2.0.0, nedb *) scheint es (noch) keinen Fix zu geben.

Ich meine irgendwo im Forum gelesen zu haben, das man keinen Fix machen soll.

[Homoran]

@oliverio sagte in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

Welchen Virenscanner habt ihr so unter Linux installiert?

ich fürchte auf einem Raspi wird hier wahrscheinlich kein Virenscanner laufen.
gibt's da überhaupt was brauchbares?

Auf einer Synology hatte ich mal vor Jahr(zehnt)en den dort als Paket vefügbaren freien Av Installiert.
der war nach 24h noch nicht fertig mit dem Plattenscan.

ClamAV gibt es auch für Raspberrypi OS. Aber war der nicht auch nur ein Bremsklotz?

[Armilar]

@msauer

sieht bei mir nicht besser aus...

Wenn du ein npm audit fix --force machst wird dein ioBroker einen sehr alten Stand haben, da es versucht das System entsprechend mit Downgrades grade zu biegen... Und das können auch schon sehr alte Versionen sein...

Also besser sein lassen...

[mcm1957]

@oliverio said in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

Ohne Garantie, aber das skript könnte überflüssig sein,
da npm audit genau das macht, sofern die pakete bei npm in der security datenbank eingetragen ist. Ich gehe davon aus, das es so ist

npm audit meldet bei meinem Produktivsystem eine Unmenge von Issues diverser Severities. Für User m.E. unverständlich. Für einen Check im Rahmen des Releases eher zuviel / undurchsichtig.

npm audit --fix aktualisiert munter drauf los. Hab das mal auf einen Adapter in einer Dev Umgebung losgelassen. Ergebnis war zwar dass alle Issues behoben waren ABER es wurde nichts in package.json aktualisisert (da war auch nichts zu tun) sondern nur packages in node_modules und das package-lock.json. Da weder das package-lock noch die node_modules Files zum User gehen war das ne nop Operation.

Bleibt die Möglichkeit dass user selbst mittels npm audit --fix ihr Echtsystem modifizieren. Empfehlen würde ich das nicht - keine Ahnung was da npm einfach so aktualisiert. Solange das nicht 100% klar ist würd ich eindeutig Hände Weg sagen. Sub sub dependencies einfach aktualisieren kann gut gehen - aber garantieren würd ich nicht dass da nichts kaputtverbessert wird.

Persönlich möchte keinen Fehlermeldungen von so einem System nachlaufen :-(

Aber ev. hat da ja schon mal wer mehr Details nachgeforscht. Wir / man kann gerne im Zuge des Releaseverfahrens was checken - nur muss es sinnvoll sein udn für den Dev behebbare Probleme melden. Auf kritische Dinge in sub sub Paketen hat der Dev im Allgemeinen keinen Einfluss ...

[albert]

@oliverio Danke!
Ich habe dein Skript laufen lassen und es meldet dass nichts gefunden ist.
npm audit meldet aber einige vulnerabilities, jetzt befürchte ich dass ich mir ein verseuchtes Paket mit einem Update installieren könnte.

[mcm1957]

@msauer said in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

Ich meine irgendwo im Forum gelesen zu haben, das man keinen Fix machen soll.

Ich würde davon dringend abraten. npm audit --fix aktuelisiert quer durch den Gemüsegarten. Ob das ausschließlich funktionierende Updates sind kann npm nicht prüfen. Ergo musst da dann schaun was noch geht ...

Das KANN gut gehen, beherbergt m.E. aber ein großes Risiko dass da was inkompatibles reinkommt. Und das bezieht sich jetzt schon mal auf --fix ohen --force. Mit --force wirds wohl noch ne Stufe riskanter. Bedenke auch dass nicht alle Issues für ioBroker wirklich kritisch sind. Wenn ein Issue z.B. "nur" ein Denial of Service auslöst können die meisten ioBroker Installation durchaus dmait leben da sie a) kaum Daten von unbekannten, insbesondere böswilligen Quellen empfangen und b) eine Störung der Funktion keine unmittelbare Katastrophe ist. Bei einem Webservice eines Shops map das ganz anders aussehen,

[Armilar]

@mcm1957 sagte in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

Auf kritische Dinge in sub sub Paketen hat der Dev im Allgemeinen keinen Einfluss ...

und das dürfte das Hauptproblem sein...

Diese Liste wird in der Regel aktuell gehalten...

https://socket.dev/blog/ongoing-supply-chain-attack-targets-crowdstrike-npm-packages

ist mit aktuell 477 NPM Paketen nicht grade kurz und wächst noch weiter...

[mcm1957]

@albert said in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

@oliverio Danke!
Ich habe dein Skript laufen lassen und es meldet dass nichts gefunden ist.

Dann sollte alles i.O. sein.

npm audit meldet aber einige vulnerabilities, jetzt befürchte ich dass ich mir ein verseuchtes Paket mit einem Update installieren könnte.

npm audit und die sort gelisteten vulnarabilities erleichtern oder verhindern in keiner Weise dass du in Zukunft ein bösartiges Paket installierst. Dass npm audit vulnarbilities meldet ist eher als normal anzusehen. Eine saubere Bereinigung kann hier eigentlich nur der Entwickler des betroffenen Pakats vornehmen,

[mcm1957]

@armilar said in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

@mcm1957 sagte in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

Auf kritische Dinge in sub sub Paketen hat der Dev im Allgemeinen keinen Einfluss ...

und das dürfte das Hauptproblem sein...

Diese Liste wird in der Regel aktuell gehalten...

https://socket.dev/blog/ongoing-supply-chain-attack-targets-crowdstrike-npm-packages

ist mit aktuell 477 NPM Paketen nicht grade kurz und wächst noch weiter...

Ja, nur da hilft npm audit praktisch nichts.

Persönlich würde ich DRINGEND davon ABRATEN auf einem produktiven Sytem eben mal mit npm audit --fix was zu verändern.

Kann zwar jeder machen was er will - aber bitte nachher nicht heulen wenn nichts mehr geht.

[Armilar]

@mcm1957

Ja, ich würde mir davon ebenso abraten... Wie das System früher mal war, weiß ich ja ;-)

[msauer]

@mcm1957 Ich habe vorher einen Snapshot gemacht. War auch gut so. Es wurden teils uralte Adapter Versionen installiert...Lief natürlich nachher nix mehr.
Also wieder einen Rollback gemacht.

[mcm1957]

@msauer
Danke für Info. Ev. lesen es genug BEVOR sie ihr System schrotten :-)

[MartinP]

@mcm1957

npm audit meldet bei meinem Produktivsystem eine Unmenge von Issues diverser Severities. Für User m.E. unverständlich. Für einen Check im Rahmen des Releases eher zuviel / undurchsichtig.

Hmm ....

martin@iobroker-test-sicher:~$ npm audit --verbose
npm verbose cli /usr/bin/node /usr/bin/npm
npm info using npm@10.9.3
npm info using node@v22.19.0
npm verbose title npm audit
npm verbose argv "audit" "--loglevel" "verbose"
npm verbose logfile logs-max:10 dir:/home/martin/.npm/_logs/2025-09-17T14_32_02_986Z-
npm verbose logfile /home/martin/.npm/_logs/2025-09-17T14_32_02_986Z-debug-0.log
npm http fetch POST 200 https://registry.npmjs.org/-/npm/v1/security/advisories/bulk 941ms
found 0 vulnerabilities
npm verbose cwd /home/martin
npm verbose os Linux 6.8.12-15-pve
npm verbose node v22.19.0
npm verbose npm  v10.9.3
npm verbose exit 0
npm info ok
martin@iobroker-test-sicher:~

[Thomas Braun]

Und weil wir gerade bei Checks und Audits sind:

Im iob diag gibt es ja auch einen solchen Test, der bezieht sich aber NUR auf die nodejs-Version und dort bekannte Sicherheitsprobleme. Da wird nicht auf die einzelnen Module geschaut.

[Thomas Braun]

@martinp sagte in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

npm verbose cwd /home/martin

Du stehst im falschen Verzeichnis...
Stell dich dahin, wo der ioBroker wohnt, dann wird da auch was ausgespuckt.

[OliverIO]

gelöscht als ergebnis von 2 parallel geöffneten kommentarfenstern

[OliverIO]

@albert sagte in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

Ich habe dein Skript laufen lassen und es meldet dass nichts gefunden ist.
npm audit meldet aber einige vulnerabilities, jetzt befürchte ich dass ich mir ein verseuchtes Paket mit einem Update installieren könnte.

ja das sieht für die meisten ähnlich aus.

57 vulnerabilities (11 low, 15 moderate, 28 high, 3 critical)

primär ist der audit befehl für die entwickler. dann ist das skript doch nicht ganz so schlecht, allerdings zeigt es nur einen teil, nicht aktuellen stand der wahrheit.

die meisten probleme sind nicht wirklich kritisch, da es nicht bedeutet, das problem in funktionen steckt die nicht verwendet werden. behoben werden sollten sie dennoch, aber:

da die verwendeten abhängigkeiten eine baumstruktur abbilden, also packet ist von packet ist von packet abhängig, ist es nicht so einfach das zu beheben. insbesondere benötigt man die mithelfe von den maintainer der anderen packete (diese dann aber auch wieder der maintainer deren verwendeten packete).

für viele probleme gibt es bereits verbesserte packete, allerdings durch die vielfältige verflechtungen muss immer der kleinste gemeinsame nenner genommen werden, so das oft wegen wenigen blockierern das neuere/bessere packet nicht verwendet werden kann.

die selbe problematik hat man auch unter windows (DLL Hölle genannt, kenne ich aber auch noch ähnlich bei PHP) bei python weiß ich nicht, aber bei npm nun auch. das war aber absehbar.

die folgende grafik zeigt das sehr gut

https://blog.mi.hdm-stuttgart.de/index.php/2022/02/25/software-dependencies-die-gefahr-aus-der-tiefe/

[Thomas Braun]

@oliverio sagte in Nach Angriff auf node.js: Sofortmaßnahmen erforderlich?:

die selbe problematik hat man auch unter windows (DLL Hölle genannt, kenne ich aber auch noch ähnlich bei PHP) bei python weiß ich nicht, aber bei npm nun auch.

Gleiches 'Phänomen' bei Linux Distributionen, da halt statt 'DLL Hölle' die 'Dependency Hell'. Die wird umso größer, je mehr Paketquellen von Dritten und/oder vorherigen Releases da angelegt sind.

[dr rocktor2]

@oliverio

Moin,

ich war mal so frei das bash-Skript auf die aktuelle Länge der Liste der zu erweitern.
Credits to oweitman

VG

D

[Homoran]

@dr-rocktor2 Danke für die Mühe!

@oliverio
Wir haben bis zur Überprüfung den Link zum Skript entfernt.
Das Skript wurde von @dutchman auf Github als PR zum bestehenden Skript angeboten.
Dort kannst du es weiter verfolgen