대안을 마련하지 않고도 지원이 중단된 Lodash 종속성을 보호하기

아닙니다. Lodash는 2021년 버전 4.17.21 이후로 새로운 릴리스를 내놓지 않았으며, Lodash 5에 대한 발표도 없었습니다. 이 라이브러리는 여전히 가장 많이 다운로드되는 npm 패키지 중 하나이지만, 새로운 취약점은 더 이상 업스트림에서 수정되지 않습니다. TuxCare의 Endless Lifecycle Support(ELS)는 1.x부터 4.x 버전에 이르는 9개의 지원 대상 Lodash 릴리스에 대해 지속적인 CVE 패치를 제공합니다.

Lodash 패키지를 리팩토링하여 제거하는 대신, 보안 패치가 적용된 호환 가능한 대체 패키지로 교체하세요. TuxCare ELS는 npm 레지스트리를 통해 지원 대상인 Lodash 릴리스의 유지보수된 버전을 제공합니다. .npmrc 파일에 두 줄을 추가하고, package.json을 업데이트한 뒤(수동으로 또는 자동화된 TuxCare Patcher를 사용하여), npm install을 실행하기만 하면 됩니다. 유틸리티 호출, 임포트 또는 애플리케이션 로직 변경은 전혀 필요하지 않습니다.

ELS는 1.3.1, 2.4.2, 3.2.0, 3.10.1, 4.5.0, 4.17.15, 4.17.19, 4.17.21, 4.18.1 등 총 9개의 Lodash 릴리스를 지원합니다. 지원 범위는 1부터 4까지의 주요 버전을 아우르며, 널리 배포된 4.17.x 계열도 포함됩니다. 애플리케이션에서 다른 릴리스 버전을 고정하고 있는 경우, TuxCare에 문의하여 지원 옵션에 대해 상담하시기 바랍니다.

네. 프로토타입 관련 취약점은 Lodash CVE 중 가장 흔한 유형이며, ELS는 지원 대상 릴리스에 영향을 미치는 알려진 취약점에 대해 검증된 수정 사항을 제공합니다. 또한, 향후 CVE가 공개될 때마다 새로운 패치도 제공됩니다. 서비스 이용 첫날부터 귀하의 프로젝트는 해당 버전에 대해 이미 제공된 모든 수정 사항을 자동으로 적용받게 됩니다.

네. ELS는 package.json의 npm 오버라이드를 사용하여, 지원 대상인 Lodash 버전의 모든 인스턴스(사용자가 관리하지 않는 패키지를 통해 포함된 복사본 포함)를 TuxCare에서 관리하는 동등한 버전으로 리디렉션합니다. TuxCare Patcher는 지원 대상 버전을 감지하여 이러한 오버라이드를 자동으로 작성할 수 있습니다.

아니요. ELS 패키지는 지원 대상 릴리스를 그대로 대체할 수 있으며, 기존 npm 워크플로를 통해 설치됩니다. 설정은 .npmrc 레지스트리 항목 추가와 package.json의 의존성 교체만 하면 되며, 그 후 npm install을 실행하면 됩니다. 애플리케이션이 이미 기대하는 것과 동일한 Lodash API, 동작 및 버전을 그대로 유지할 수 있습니다.

네. ELS 패키지는 TuxCare 레지스트리를 통해 npm으로 해결되므로, npm이 작동하는 곳이라면 어디서나 사용할 수 있습니다. 여기에는 Docker 빌드, CI/CD 파이프라인, 기존 배포 워크플로우 등이 포함됩니다. 레지스트리 토큰은 프로젝트의 .npmrc 파일에서 자동으로 읽어옵니다.

ELS는 SOC 2, PCI DSS, HIPAA, NIS2, DORA 및 CRA를 포함한 프레임워크 하에서 취약점 수정 요건을 지원하도록 설계되었습니다. 패치는 지정된 공급업체와 체결한 SLA에 따라 제공되므로, 감사관들은 그렇지 않으면 유지 관리가 이루어지지 않는 종속성에 대해 문서화된 수정 절차를 확보할 수 있습니다.

이는 귀하의 일정과 위험 감수 능력에 따라 달라집니다. ELS를 사용하면 긴급한 상황이 아닌 선택의 여지가 생깁니다. Lodash를 제거하려면 공유 유틸리티와 잠재적으로 수천 곳에 달하는 호출 지점을 수정해야 하지만, ELS를 사용하면 npm을 통해 지원 대상 릴리스에 대한 패치를 즉시 적용할 수 있습니다. 많은 팀이 현재 보안과 규정 준수를 유지하기 위해 ELS를 활용하고 있으며, 이후에는 신중하게 현대화를 진행하거나 아예 진행하지 않기도 합니다.