Ich bin da voll bei dir und hab mich vllt. missverständlich ausgedrückt. Die Frage ist, wie akut die Gefahr ist, zumal die Malware recht schnell erkannt wurde, nachdem z.B. das coa Paket seit 2018 kein Update mehr erfahren hat und nun aus heiterem Himmel es eine neue Version gibt.
Das Paket "Homebridge-Config-ui-x" hat dependencies/Abhängigkeiten zu bestimmten anderen Paketen, die in der package.json vom Homebridge-Config-UI-X aufgeführt sind. Die dort aufgeführten dependencies können wiederum weitere Abhängigkeiten zu anderen Paketen haben. Sprich, homebridge-config-ui-x ist abhängig von node-pty-rebuilt-multiarch, dass ist wiederum abhängig von prebuild-install und das ist wiederum abhängig von rc.:
/usr/local/lib
└─┬ [email protected]
└─┬ [email protected]
└─┬ [email protected]
└── [email protected]Heißt, wir haben hier eine Kaskade/Verschachtelung von Abhängigkeiten. So wie ich npm update (https://docs.npmjs.com/cli/v7/commands/npm-update) verstehe, würde ein Update des prebuild-install Paketes die Version von rc auf die neuere mit der malware updaten. Das wäre vermutlich passiert, wenn es lang genug unentdeckt geblieben wäre.
Ich bin aber leider kein Entwickler, daher weiß ich nicht wie "automatisiert" sich hier Abhängigkeiten von Paket zu Paket durch eine neue Version eines Pakets auf die anderen auswirkt und ob dass dann so in der kaskade durchgewunken wird bzw. einen Dominostein-Effekt auslöst.
