Mantenha as versões arquivadas do RequireJS atualizadas enquanto planeja sua migração

Não. A OpenJS Foundation lista o RequireJS entre seus projetos arquivados, e o site requirejs.org ainda apresenta a versão 2.3.7 como a mais recente disponível para download. O npm disponibiliza a versão 2.3.8, mas não há um roteiro de desenvolvimento nem equipe de segurança, e a correção de segurança de 2024 foi o primeiro lançamento do projeto em seis anos. O TuxCare ELS oferece cobertura para versões mais antigas que ainda estão em operação.

Utilize uma versão substituta, com correções de segurança, da versão coberta que você já executa. O TuxCare ELS fornece pacotes RequireJS mantidos por meio de seu registro npm. Basta adicionar o registro ao arquivo .npmrc, apontar o arquivo package.json para o pacote ELS manualmente ou com o TuxCare Patcher e, em seguida, executar o comando `npm install`. Não é necessário alterar os módulos AMD nem a configuração do carregador.

O ELS oferece cobertura para o RequireJS 2.1.22 e 2.3.6, ambas versões de longa duração em aplicativos AMD maduros. A cobertura é específica para cada versão; portanto, o pacote que você instala corresponde à versão que sua compilação já espera. Se o seu aplicativo estiver vinculado a uma versão diferente, entre em contato com a TuxCare para discutir as opções de cobertura.

Se for possível, sim. A correção para o CVE-2024-38999 consiste em uma única verificação de segurança dentro do carregador, e a atualização das versões 2.3.6 a 2.3.8 é uma mudança no nível do patch que não requer alterações por parte da AMD. O ELS destina-se a compilações congeladas por validação, certificação de fornecedor ou uma cadeia de ferramentas fixada, e a equipes que desejam cobertura respaldada por SLA para o que vier a seguir.

A vulnerabilidade CVE-2024-38999 consiste em poluição de protótipos por meio de `s.contexts._.configure` e afeta todas as versões do RequireJS até a 2.3.6, inclusive. O desenvolvedor original corrigiu a falha na versão 2.3.7. O ELS oferece essa correção nas versões abrangidas para equipes nas quais a migração para a versão 2.3.7 ou posterior não é uma opção.

Sim. Os pacotes ELS vêm do registro npm da TuxCare e são aplicados sempre que uma versão coberta do RequireJS aparecer em sua árvore de dependências, incluindo cópias incorporadas por pacotes que você não controla. As substituições do npm no arquivo package.json redirecionam todas as instâncias para o equivalente mantido.

Não. O ELS preserva a versão abrangida e seu comportamento esperado de carregamento. As chamadas existentes de `define` e `require`, a configuração do carregador, os caminhos e a configuração do shim, bem como as etapas de compilação do `r.js`, permanecem inalteradas enquanto o pacote recebe as correções de segurança aplicáveis.

Sim. Os pacotes ELS são instalados via npm a partir do registro da TuxCare, portanto, são compatíveis com compilações do Docker, pipelines de CI/CD e fluxos de trabalho de implantação que já instalam o RequireJS via npm. O token do registro é lido no arquivo .npmrc do seu projeto.

O ELS foi projetado para atender aos requisitos de correção de vulnerabilidades em conformidade com estruturas como SOC 2, PCI DSS, HIPAA, NIS2, DORA e CRA. Por si só, ele não torna um aplicativo em conformidade. O que ele oferece é um fornecedor identificado, um SLA contratual e um histórico documentado de correções que os auditores podem analisar.

Isso depende da aplicação e do custo da migração. A mudança dos módulos AMD para os módulos ES pode afetar as definições dos módulos, a configuração do carregador, o agrupamento de pacotes e a compatibilidade com navegadores. O ELS mantém as versões cobertas atualizadas enquanto você realiza a modernização de forma gradual ou enquanto continua executando uma aplicação em que a migração traz poucos benefícios.