Proteger las dependencias de Lodash que ya no reciben soporte sin necesidad de un proyecto de sustitución que suponga una interrupción

No. Lodash no ha lanzado ninguna versión desde la 4.17.21 en 2021, y no se ha anunciado ninguna versión 5 de Lodash. La biblioteca sigue siendo uno de los paquetes de npm más descargados, pero ya no se corrigen nuevas vulnerabilidades en el código fuente original. El servicio Endless Lifecycle Support (ELS) de TuxCare proporciona parches CVE continuos para nueve versiones de Lodash cubiertas, que abarcan desde la 1.x hasta la 4.x.

Sustituye tu paquete Lodash por un equivalente listo para usar y con parches de seguridad, en lugar de reestructurarlo. TuxCare ELS ofrece versiones actualizadas de las versiones de Lodash incluidas en la cobertura a través de su registro npm: solo tienes que añadir dos líneas al archivo .npmrc, actualizar el archivo package.json (manualmente o con el TuxCare Patcher automatizado) y ejecutar «npm install». No es necesario modificar las llamadas a utilidades, las importaciones ni la lógica de la aplicación.

ELS cubre nueve versiones de Lodash: 1.3.1, 2.4.2, 3.2.0, 3.10.1, 4.5.0, 4.17.15, 4.17.19, 4.17.21 y 4.18.1. La cobertura abarca las versiones principales de la 1 a la 4, incluida la línea 4.17.x, ampliamente implantada. Si tu aplicación utiliza una versión diferente, ponte en contacto con TuxCare para analizar las opciones de cobertura.

Sí. La contaminación de prototipos es el tipo más habitual de CVE de Lodash, y ELS ofrece soluciones probadas para las vulnerabilidades conocidas que afectan a las versiones cubiertas. Además, se proporcionan nuevos parches a medida que se dan a conocer nuevas CVE. Desde el primer día, tu proyecto incorpora todas las correcciones ya publicadas para tu versión.

Sí. ELS utiliza modificaciones de npm en el archivo package.json para redirigir cada instancia de una versión de Lodash incluida en la cobertura (incluidas las copias incorporadas por paquetes que no controlas) a su equivalente mantenido por TuxCare. El TuxCare Patcher puede detectar las versiones incluidas en la cobertura y aplicar estas modificaciones automáticamente.

No. Los paquetes ELS son sustitutos directos de las versiones cubiertas y se instalan a través de tu flujo de trabajo habitual de npm. La configuración consiste en añadir una entrada en el registro .npmrc y cambiar la dependencia en el archivo package.json; a continuación, basta con ejecutar «npm install». Mantienes la misma API, el mismo comportamiento y la misma versión de Lodash que tu aplicación ya espera.

Sí. Los paquetes ELS se instalan a través de npm desde el registro de TuxCare, por lo que funcionan en cualquier lugar donde funcione npm. Esto incluye compilaciones de Docker, flujos de trabajo de CI/CD y flujos de trabajo de implementación ya existentes. El token del registro se lee automáticamente desde el archivo .npmrc de tu proyecto.

ELS está diseñado para dar respuesta a los requisitos de corrección de vulnerabilidades establecidos en marcos normativos como SOC 2, PCI DSS, HIPAA, NIS2, DORA y la CRA. Los parches se suministran en virtud de un acuerdo de nivel de servicio (SLA) contractual por parte de un proveedor específico, lo que proporciona a los auditores una vía de corrección documentada para una dependencia que, de otro modo, no recibiría mantenimiento.

Depende de tu calendario y de tu tolerancia al riesgo. ELS lo convierte en una opción, en lugar de una situación de emergencia. Eliminar Lodash implica modificar utilidades compartidas y, potencialmente, miles de puntos de llamada, mientras que ELS garantiza que las versiones afectadas se actualicen de inmediato a través de npm. Muchos equipos utilizan ELS para mantener la seguridad y el cumplimiento normativo en este momento, para luego modernizar de forma planificada o no hacerlo en absoluto.