Минобороны США использует открытую утилиту fast-glob разработчика из РФ, автор ответил на вопросы безопасности проекта

По информации иностранных СМИ (The Register, Hunted Labs), в информационных системах Министерства обороны США активно используется открытая утилита fast‑glob от разработчика из РФ Дениса Малиночкина (mrmlnc), который работает в «Яндексе».

fast‑glob — это очень быстрая и эффективная библиотека для Node.js, которая разрабатывается с 2016 года. Она широко используется в тысячах проектов, включая более 30 систем Министерства обороны США.

По информации профильных источников, нет никаких доказательств вредоносной активности в этом проекте. Но эксперты по кибербезопасности предупреждают, что отсутствие контроля за столь критически важными проектами с открытым исходным кодом делает их уязвимыми для потенциального использования со стороны государственных структур.

Исследователи из американской компании Hunted Labs, специализирующейся на кибербезопасности, провели расследование по поводу автора утилиты fast-glob, которая используется для поиска файлов и папок, соответствующих определённым шаблонам. Её мейнтейнер работает под ником mrmlnc, а профиль на Github, связанный с этим ником, указывает на её владельца как разработчика «Яндекса» по имени Денис Малиночкин, проживающего в пригороде Москвы. Как отметила Hunted Labs, связанный с этим ником веб‑сайт также указывает на то же лицо, что и владелец.

В Hunted Labs не общались с Малиночкиным до публикации своего отчёта и не обнаружили никаких связей между ним и кем-либо ещё. По данным Hunted Labs, fast-glob загружается более 79 миллионов раз в неделю и в настоящее время используется более чем в 5 тыс. публичных проектов, помимо систем Министерства обороны США и образов контейнеров Node.js, куда она включена. И это не говоря уже о частных проектах, которые могут его использовать, а это