Veillez à ce que les versions archivées de RequireJS soient mises à jour pendant que vous planifiez votre migration

Non. La Fondation OpenJS classe RequireJS parmi ses projets archivés, et le site requirejs.org indique toujours la version 2.3.7 comme étant la dernière disponible au téléchargement. npm propose la version 2.3.8, mais il n'y a ni feuille de route ni équipe de sécurité, et le correctif de sécurité de 2024 était la première version publiée par le projet depuis six ans. Le service ELS de TuxCare couvre les anciennes versions encore en production.

Utilisez une version de remplacement, dotée des correctifs de sécurité, pour la version prise en charge que vous utilisez déjà. TuxCare ELS fournit des paquets RequireJS mis à jour via son registre npm. Il vous suffit d’ajouter ce registre à votre fichier .npmrc, de pointer le fichier package.json vers le paquet ELS (manuellement ou à l’aide du TuxCare Patcher), puis d’exécuter la commande npm install. Aucune modification n’est nécessaire au niveau des modules AMD ou de la configuration du chargeur.

ELS prend en charge RequireJS 2.1.22 et 2.3.6, deux versions à longue durée de vie couramment utilisées dans les applications AMD matures. La couverture est spécifique à chaque version ; le package que vous installez correspond donc à la version attendue par votre build. Si votre application utilise une version différente, contactez TuxCare pour discuter des options de couverture.

Si vous le pouvez, oui. Le correctif pour la vulnérabilité CVE-2024-38999 consiste en un simple contrôle de sécurité intégré au chargeur, et le passage des versions 2.3.6 à 2.3.8 s'effectue au niveau des correctifs et ne nécessite aucune modification de la part d'AMD. ELS est destiné aux versions gelées en raison de la validation, de la certification fournisseur ou d'une chaîne d'outils verrouillée, ainsi qu'aux équipes qui souhaitent bénéficier d'une couverture garantie par un SLA pour toute évolution future.

La vulnérabilité CVE-2024-38999 est liée à une pollution de prototypes via la fonction `s.contexts._.configure` et affecte toutes les versions de RequireJS jusqu'à la version 2.3.6 incluse. Le développeur en amont a corrigé ce problème dans la version 2.3.7. ELS fournit cette correction pour les versions concernées aux équipes qui ne peuvent pas passer à la version 2.3.7 ou à une version ultérieure.

Oui. Les paquets ELS proviennent du registre npm de TuxCare et s'appliquent partout où une version prise en charge de RequireJS apparaît dans votre arborescence, y compris les copies importées par des paquets que vous ne contrôlez pas. Les remplacements npm définis dans le fichier package.json redirigent chaque occurrence vers l'équivalent maintenu.

Non. ELS conserve la version concernée ainsi que son comportement de chargement prévu. Les appels « define » et « require » existants, la configuration du chargeur, les chemins d'accès et la configuration du shim, ainsi que les étapes de compilation de r.js restent inchangés, tandis que le package bénéficie des correctifs de sécurité applicables.

Oui. Les paquets ELS sont installés via npm à partir du registre TuxCare ; ils s'intègrent donc parfaitement aux builds Docker, aux pipelines CI/CD et aux workflows de déploiement qui utilisent déjà npm pour installer RequireJS. Le jeton du registre est lu à partir du fichier .npmrc de votre projet.

ELS est conçu pour répondre aux exigences en matière de correction des vulnérabilités dans le cadre de normes telles que SOC 2, PCI DSS, HIPAA, NIS2, DORA et la CRA. Il ne garantit pas à lui seul la conformité d’une application. Il fournit toutefois le nom d’un fournisseur, un accord de niveau de service (SLA) contractuel et un historique documenté des correctifs que les auditeurs peuvent examiner.

Cela dépend de l'application et du coût de la migration. Le passage des modules AMD aux modules ES peut avoir des répercussions sur les définitions de modules, la configuration du chargeur, le regroupement de modules et la prise en charge par les navigateurs. ELS assure la mise à jour des versions prises en charge pendant que vous procédez à une modernisation de manière progressive, ou pendant que vous continuez à exploiter une application pour laquelle la migration n'apporte que très peu d'avantages.