Protéger les dépendances Lodash qui ne sont plus prises en charge sans avoir à mettre en place un projet de remplacement perturbateur

Non. Lodash n'a pas publié de nouvelle version depuis la version 4.17.21 en 2021, et aucune version 5 de Lodash n'a été annoncée. La bibliothèque reste l'un des paquets npm les plus téléchargés, mais les nouvelles vulnérabilités ne sont plus corrigées en amont. Le service « Endless Lifecycle Support » (ELS) de TuxCare fournit des correctifs CVE continus pour neuf versions couvertes de Lodash, allant des versions 1.x à 4.x.

Remplacez votre package Lodash par un équivalent prêt à l'emploi et corrigé sur le plan de la sécurité, plutôt que de le refactoriser. TuxCare ELS fournit des versions maintenues des versions de Lodash couvertes via son registre npm : il vous suffit d'ajouter deux lignes à votre fichier .npmrc, de mettre à jour votre fichier package.json (manuellement ou à l'aide de l'outil automatisé TuxCare Patcher), puis d'exécuter la commande npm install. Aucun appel d'utilitaire, aucune importation ni aucun changement de logique applicative ne sont nécessaires.

ELS couvre neuf versions de Lodash : 1.3.1, 2.4.2, 3.2.0, 3.10.1, 4.5.0, 4.17.15, 4.17.19, 4.17.21 et 4.18.1. La couverture s'étend aux versions majeures 1 à 4, y compris la série 4.17.x largement déployée. Si votre application utilise une version différente, contactez TuxCare pour discuter des options de couverture.

Oui. La pollution des prototypes constitue la catégorie la plus courante de CVE dans Lodash, et ELS fournit des correctifs testés pour les vulnérabilités connues affectant les versions prises en charge. De plus, de nouveaux correctifs sont proposés à mesure que de nouvelles CVE sont divulguées. Dès le premier jour, votre projet bénéficie de tous les correctifs déjà intégrés pour votre version.

Oui. ELS utilise des règles de remplacement npm dans le fichier package.json pour rediriger chaque occurrence d’une version de Lodash couverte (y compris les copies importées par des paquets sur lesquels vous n’avez aucun contrôle) vers l’équivalent géré par TuxCare. L’outil TuxCare Patcher est capable de détecter les versions couvertes et d’écrire automatiquement ces règles de remplacement.

Non. Les paquets ELS remplacent directement les versions prises en charge et s'installent via votre workflow npm existant. La configuration se résume à ajouter une entrée dans le fichier .npmrc et à remplacer la dépendance dans le fichier package.json, puis à exécuter la commande « npm install ». Vous conservez ainsi la même API Lodash, le même comportement et la même version que ceux auxquels votre application est déjà habituée.

Oui. Les paquets ELS sont installés via npm à partir du registre TuxCare ; ils fonctionnent donc partout où npm est disponible. Cela inclut les builds Docker, les pipelines CI/CD et les workflows de déploiement existants. Le jeton du registre est lu automatiquement à partir du fichier .npmrc de votre projet.

ELS est conçu pour répondre aux exigences en matière de correction des vulnérabilités dans le cadre de référentiels tels que SOC 2, PCI DSS, HIPAA, NIS2, DORA et la CRA. Les correctifs sont fournis dans le cadre d'un accord de niveau de service (SLA) contractuel par un fournisseur désigné, offrant ainsi aux auditeurs une feuille de route documentée pour la correction d'une dépendance qui, sans cela, ne ferait l'objet d'aucune maintenance.

Tout dépend de votre calendrier et de votre tolérance au risque. ELS vous permet d'en faire un choix plutôt qu'une solution d'urgence. Supprimer Lodash implique de modifier des utilitaires partagés et potentiellement des milliers d'endroits où il est appelé, tandis qu'ELS assure la mise à jour immédiate des versions concernées via npm. De nombreuses équipes utilisent ELS pour garantir leur sécurité et leur conformité dès maintenant, puis modernisent leurs systèmes de manière réfléchie, voire pas du tout.