es5-ext dependency is quarantined by Nexus Firewall, blocking hermetic builds
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 2/5
- Thời gian dự kiến
- 1-3 giờ
- Mức phù hợp với người mới
- 68/100
- Loại issue
- Lỗi
- Độ rõ ràng
- Đặc tả rõ ràng
- Mức độ hoạt động
- Ít trao đổi
- Công nghệ
- typescript, vscode
- Lĩnh vực
- build-system, devops
Hướng nghiên cứu
Bắt đầu trong lib/vscode/package.json và lần theo chuỗi dependency được liệt kê để xác nhận es5-ext được phân giải như thế nào. Áp dụng dependency override được mô tả trong issue, sau đó chạy bản build hermetic hoặc hardened để lấy dependency nhằm xác minh rằng package bị cách ly không còn được yêu cầu nữa.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Problem
The es5-ext npm package (both 0.10.63 and 0.10.64) has been quarantined by Nexus Firewall under advisory sonatype-2022-2248. Its _postinstall.js script makes network calls to geolocate the host and executes undisclosed code (classified as protestware). Both versions are flagged; there is no clean upstream version.
This blocks any hermetic/hardened supply chain build that prefetches npm dependencies through an artifact registry proxy, resulting in:
FetchError: 403, message='--- Requested item is quarantined ---'
url='https://artifact-registry-proxy.../npm-proxy/es5-ext/-/es5-ext-0.10.63.tgz'
Dependency chain
es5-ext enters code-server through the VS Code submodule (lib/vscode/):
gulp-sourcemaps→debug-fabulous→memoizee→es5-ext(build tooling, devDependency)- Also via
d,es6-iterator,es6-symbol,es6-weak-map,esniff,event-emitter,timers-ext
Upstream status
- microsoft/vscode#310541 — closed, maintainer said PRs welcome
- microsoft/vscode#160012 — older duplicate, also closed
- medikoo/es5-ext#186 — upstream protestware discussion (4 years old)
Suggested fix
Add an npm overrides entry in lib/vscode/package.json to alias es5-ext to @unes/es5-ext, a community fork that strips the postinstall script and rebases daily against upstream:
"overrides": {
"es5-ext": "npm:@unes/es5-ext@0.10.64-1"
}
We have implemented this fix in our downstream build at opendatahub-io/notebooks#3556.
- Ngôn ngữ chính
- TypeScript
- Star
- 79.4k
- Fork
- 6.9k
- Merge trung bình
- 2 ngày 13 giờ
- Pull request đã merge (30 ngày)
- 39
Hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của coder/code-server
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 92/100
coder/code-server#8017 · 2 bình luận ·
-
Bump proxy-addr to 2.0.8 Đang mởsecurity
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 74/100
coder/code-server#8013 · 4 bình luận ·
-
enhancement
Độ khó 5/5 Hơn một tuần Mức phù hợp với người mới 35/100
coder/code-server#7976 · 2 bình luận ·
-
enhancement
Độ khó 5/5 Hơn một tuần Mức phù hợp với người mới 35/100
coder/code-server#7962 · 3 bình luận ·
-
bug needs-investigation
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 55/100
coder/code-server#7955 · 1 bình luận ·
Tất cả issue của coder/code-server
Issue tương tự
-
bug(cli): hapi doctor inline-media prints a fabricated B:\ helper-script path in packaged installs Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 70/100
-
Crush Đang mở
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 85/100
catppuccin/catppuccin#3125 ·
-
Add a SECURITY.md Đang mở
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 90/100
ElementsProject/cln-application#167 · 1 bình luận · 1 reaction ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
Quantco/pnpm-licenses#17 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100