Schützen Sie nicht mehr unterstützte Lodash -Abhängigkeiten, ohne ein störendes Ersatzprojekt einzuführen

Nein. Lodash hat seit Version 4.17.21 im Jahr 2021 keine neue Version mehr veröffentlicht, und ein Lodash 5 wurde nicht angekündigt. Die Bibliothek gehört nach wie vor zu den am häufigsten heruntergeladenen npm-Paketen, doch neue Sicherheitslücken werden im Upstream nicht mehr behoben. Der „Endless Lifecycle Support“ (ELS) von TuxCare bietet fortlaufende CVE-Patches für neun abgedeckte Lodash-Versionen der Versionsreihen 1.x bis 4.x.

Ersetzen Sie Ihr Lodash-Paket durch ein sicherheitsgepflastertes, direkt einsetzbares Äquivalent, anstatt es komplett umzugestalten. TuxCare ELS stellt über seine npm-Registry gepflegte Versionen der abgedeckten Lodash-Releases bereit: Sie fügen zwei Zeilen zur Datei .npmrc hinzu, aktualisieren package.json (manuell oder mit dem automatisierten TuxCare Patcher) und führen npm install aus. Es sind keine Aufrufe von Dienstprogrammen, Importe oder Änderungen an der Anwendungslogik erforderlich.

ELS deckt neun Lodash-Versionen ab: 1.3.1, 2.4.2, 3.2.0, 3.10.1, 4.5.0, 4.17.15, 4.17.19, 4.17.21 und 4.18.1. Die Abdeckung erstreckt sich über die Hauptversionen 1 bis 4, einschließlich der weit verbreiteten 4.17.x-Reihe. Falls Ihre Anwendung auf eine andere Version festgelegt ist, wenden Sie sich bitte an TuxCare, um die Abdeckungsoptionen zu besprechen.

Ja. „Prototype Pollution“ ist die häufigste Kategorie von Lodash-CVEs, und ELS stellt geprüfte Korrekturen für bekannte Sicherheitslücken bereit, die von den abgedeckten Versionen betroffen sind. Zudem werden neue Patches bereitgestellt, sobald neue CVEs bekannt gegeben werden. Vom ersten Tag an profitiert Ihr Projekt von allen Korrekturen, die bereits für Ihre Version veröffentlicht wurden.

Ja. ELS nutzt npm-Überschreibungen in der Datei „package.json“, um jede Instanz einer abgedeckten Lodash-Version (einschließlich Kopien, die von Paketen eingebunden werden, auf die Sie keinen Einfluss haben) auf das von TuxCare gepflegte Äquivalent umzuleiten. Der TuxCare Patcher kann abgedeckte Versionen erkennen und diese Überschreibungen automatisch vornehmen.

Nein. ELS-Pakete sind direkte Ersatzlösungen für die abgedeckten Versionen und werden über Ihren bestehenden npm-Workflow installiert. Die Einrichtung erfolgt durch einen Eintrag in der .npmrc-Datei und eine Änderung der Abhängigkeiten in der package.json-Datei, gefolgt von einem „npm install“. Sie behalten die gleiche Lodash-API, das gleiche Verhalten und die gleiche Version bei, die Ihre Anwendung bereits erwartet.

Ja. ELS-Pakete werden über npm aus der TuxCare-Registry geladen, sodass sie überall dort funktionieren, wo npm verfügbar ist. Dazu gehören Docker-Builds, CI/CD-Pipelines und bestehende Bereitstellungsworkflows. Das Registry-Token wird automatisch aus der Datei .npmrc Ihres Projekts ausgelesen.

ELS wurde entwickelt, um die Anforderungen zur Behebung von Sicherheitslücken im Rahmen von Rahmenwerken wie SOC 2, PCI DSS, HIPAA, NIS2, DORA und CRA zu erfüllen. Patches werden im Rahmen eines vertraglich festgelegten SLA von einem namentlich genannten Anbieter bereitgestellt, wodurch Auditoren einen dokumentierten Weg zur Behebung einer ansonsten nicht gewarteten Abhängigkeit erhalten.

Das hängt von Ihrem Zeitplan und Ihrer Risikobereitschaft ab. Mit ELS haben Sie die Wahl und geraten nicht in eine Notlage. Die Entfernung von Lodash würde bedeuten, dass gemeinsam genutzte Hilfsfunktionen und möglicherweise Tausende von Aufrufstellen angepasst werden müssten, während ELS dafür sorgt, dass betroffene Versionen über npm sofort gepatcht werden. Viele Teams nutzen ELS, um bereits jetzt sicher und konform zu bleiben, und modernisieren dann entweder gezielt oder gar nicht.