reactjs - 在全新的 create-react-app 安装(脚本访问 "/initrd.img"、 "/vmlinuz"等)的构建错误中检测到潜在安全威胁

Question

在我使用 create-react-app 或 Razzle 创建新应用程序后，在构建时会出现错误消息，这在安全方面非常令人担忧:

[Error: ENOENT: no such file or directory, stat '/initrd.img'] {
  errno: -2,
  code: 'ENOENT',
  syscall: 'stat',
  path: '/initrd.img'
}

有时，会出现一些其他消息，取而代之的是“/vmlinuz”、“/initrd.img.old”、“/vmlinuz.old”和“.steampath”。
这些消息会在出现构建错误(我生成的任何构建错误)时出现。
这与 vue-CLI outputting very concerning error (security question) 中描述的问题基本相同(但我被告知要问一个新问题)。在该线程中有三个人的证词具有相同的错误消息。
我认为 React 构建脚本没有任何正当理由来统计 Linux 内核和 Steam 目录，因此这里可能存在恶意软件包。
这只发生在 npm 上，而不是 yarn 上。 (如果你的应用是 CRA 用 yarn 创建的，你应该做 rm -rf node_modules && rm -rf yarn.lock && npm install )；
在尝试隔离罪魁祸首时，我可以实现的最小设置是:

使用 create-react-app 创建一个全新的应用程序 npx create-react-app app1

然后在 index.js 中生成任意构建错误, 添加如下内容: import "nonexistent";

当我这样做时，我看到 stat '/initrd.img'上面提到的错误。
我想知道在执行完全相同的步骤后您是否没有看到错误。这可能意味着它不是来自安装的软件包，而是来自我系统中的其他地方。
但它不能来自我的 Node.js 设置，因为我在重做以下步骤之前删除了我的 $HOME/.nvm、$HOME/.npm、$HOME/node_modules、$HOME/.yarn 和 $HOME/.config/yarn。
显然，网络上关于此的类似推荐并不多。不过用“/.steampath”多一点。
我向 security@npmjs.com 报告了这个问题。他们还没有回复。
如果react-create-app(和Razzle)的依赖树中确实存在恶意脚本，则应紧急调查。
环境:

节点 14.14 安装了 nvm 0.36.0

npm 6.14.8

创建 react 应用程序 3.4.1

库本图 20.04

编辑:我还在 https://github.com/facebook/create-react-app/issues/9855 上发布了一个问题.我认为这足够严重和紧急，现在应该通知 CRA 维护者。

Answer 1

似乎有一个简单的答案:这些消息可能来自 Node 搜索 node_modules。在项目父目录中一直到文件系统根目录。 (见 https://nodejs.org/api/modules.html#modules_loading_from_node_modules_folders)。它也可能会尝试跟随符号链接(symbolic link)，以防它们指向 node_modules目录，并在此过程中每次遇到损坏的符号链接(symbolic link)时发出错误。
这很合理，也很让人放心。不涉及恶意脚本。
我删除了 initrd.img、/initrd.img.old、/vmlinuz 和/vmlinuz.old，它们确实是损坏的符号链接(symbolic link)。所以我不应该再收到这些错误了。