Mantén actualizadas las versiones archivadas de RequireJS mientras planificas tu migración

No. La Fundación OpenJS incluye a RequireJS entre sus proyectos archivados, y requirejs.org sigue mostrando la versión 2.3.7 como la última disponible para descargar. npm ofrece la versión 2.3.8, pero no hay una hoja de ruta ni un equipo de seguridad, y la corrección de seguridad de 2024 fue la primera versión del proyecto en seis años. TuxCare ELS cubre las versiones anteriores que aún se ejecutan en producción.

Utiliza una versión sustitutiva, con los parches de seguridad aplicados, de la versión cubierta que ya estás ejecutando. TuxCare ELS ofrece paquetes de RequireJS actualizados a través de su registro npm. Añade el registro al archivo .npmrc, configura el archivo package.json para que apunte al paquete de ELS, ya sea manualmente o con el TuxCare Patcher, y, a continuación, ejecuta «npm install». No es necesario modificar los módulos AMD ni la configuración del cargador.

ELS cubre las versiones 2.1.22 y 2.3.6 de RequireJS, ambas versiones de larga duración en aplicaciones AMD maduras. La cobertura es específica para cada versión, por lo que el paquete que instales coincidirá con la versión que ya espera tu compilación. Si tu aplicación tiene fijada una versión diferente, ponte en contacto con TuxCare para analizar las opciones de cobertura.

Si puedes, sí. La corrección para CVE-2024-38999 consiste en una única instrucción de protección dentro del cargador, y el cambio de la versión 2.3.6 a la 2.3.8 es una actualización de nivel de parche que no requiere modificaciones por parte de AMD. ELS está pensado para compilaciones bloqueadas por validación, certificación de proveedores o una cadena de herramientas fija, así como para equipos que deseen una cobertura respaldada por un SLA ante cualquier eventualidad futura.

CVE-2024-38999 es un problema de contaminación de prototipos a través de `s.contexts._.configure`, y afecta a todas las versiones de RequireJS hasta la 2.3.6, incluida esta. El desarrollador original lo corrigió en la versión 2.3.7. ELS ofrece esa corrección en las versiones afectadas para aquellos equipos en los que no sea posible actualizar a la versión 2.3.7 o posterior.

Sí. Los paquetes ELS proceden del registro npm de TuxCare y se resuelven siempre que aparezca una versión de RequireJS cubierta en tu árbol de archivos, incluidas las copias incorporadas por paquetes que no controlas. Las sustituciones de npm en el archivo package.json redirigen cada instancia al equivalente mantenido.

No. ELS conserva la versión protegida y su comportamiento de carga previsto. Las llamadas «define» y «require» existentes, la configuración del cargador, las rutas y la configuración del shim, así como los pasos de compilación de r.js, permanecen tal y como están, mientras que el paquete recibe las correcciones de seguridad pertinentes.

Sí. Los paquetes ELS se resuelven a través de npm desde el registro de TuxCare, por lo que son compatibles con las compilaciones de Docker, los procesos de CI/CD y los flujos de trabajo de implementación que ya instalan RequireJS a través de npm. El token del registro se lee desde el archivo .npmrc de tu proyecto.

ELS está diseñado para dar respuesta a los requisitos de corrección de vulnerabilidades en el marco de normas como SOC 2, PCI DSS, HIPAA, NIS2, DORA y la CRA. Por sí solo, no garantiza que una aplicación cumpla con la normativa. Lo que ofrece es un proveedor identificado, un acuerdo de nivel de servicio (SLA) contractual y un historial documentado de parches que los auditores pueden revisar.

Depende de la aplicación y del coste de la migración. Pasar de los módulos AMD a los ES puede afectar a las definiciones de los módulos, la configuración del cargador, la agrupación en paquetes y la compatibilidad con los navegadores. ELS se encarga de mantener actualizadas las versiones cubiertas mientras se lleva a cabo una modernización de forma gradual, o mientras se sigue ejecutando una aplicación en la que la migración aporta muy pocas ventajas.