Peacenotwar

codice_1は、ブランドン・ミラーが戦争に抗議するための開発したプロテストウェアの1つ。2022年2月にnpmモジュール codice_2 のアップデートとして依存関係に追加された。
背景.
2022年3月7日から8日にかけて、 npmモジュールのひとつ codice_2 のメンテナである Brandon Nozaki Miller がロシアによるウクライナ侵攻の抗議の一環として、ロシアとベラルーシのシステムを標的とした悪意あるコードを含む2つのアップデートをリリースした。これらはコードインジェクションとしてCVE識別番号 が付与された。
その1週間後、 Brandon Nozaki Miller は上記2つのアップデートを codice_1 モジュールとして、 codice_2 の依存関係に追加した。
codice_1 モジュールは影響を受けたマシンのデスクトップに codice_7 というテキストファイルを作成し、ロシアによるウクライナ侵攻に抗議するメッセージを記録し、それらを使用するサーバに DoS攻撃 をもたらす npmパッケージ (codice_8) の依存関係をインポートしてしまうため、知らない間にウクライナ侵攻抗議に参加してしまうことになる。
影響.
codice_1 モジュールが追加された codice_2 は多くの一般的なソフトウェアの依存関係として使用されているため、多くのプロジェクトに被害を与えている。
その中には JavaScript で人気のフロントエンドフレームワーク Vue.js も含まれ、 Unity Hub 3.1 も影響を受けたが後のパッチで修正された。