Axiosへのサプライチェーン攻撃、npmから悪意のある依存関係を引き込む
本文の状態
日本語全文を表示中
詳細モードで約1分の本文を読めます。
同じ出来事の情報源
この情報源を基点に整理
Simon Willison Blog
Socket.devが、週間1億1,400万ダウンロードのHTTPクライアントNPMパッケージ「Axios」のバージョン1.14.1と0.30.4に、新たに公開されたマルウェア「plain-crypto-js」が依存関係として含まれていたと報告した。
Source Article
元記事を日本語で読む
本文に関係しない購読案内、埋め込み通知、サイト内プロモーションは除いています。
Axios のサプライチェーン攻撃により悪意のある依存関係が npm から削除される
今日発生した Axios に対するサプライチェーン攻撃に関する有用な解説記事です。Axios は 週に 1 億 100 万回ダウンロードされている HTTP クライアント用 NPM パッケージです。バージョン 1.14.1 と 0.30.4 の両方に、新たに公開されたマルウェアである「plain-crypto-js」という新しい依存関係が含まれており、認証情報を窃取し、リモートアクセストロイ（RAT）をインストールしていました。
この攻撃は、漏洩した長期有効な npm トークンが原因のようです。Axios は 信頼できる公開の採用に関するオープンな課題 を抱えており、これにより GitHub Actions ワークフローのみが npm への公開を許可されるようになります。マルウェアパッケージは、対応する GitHub リリースを伴わずに公開されました。これは潜在的に悪意のあるリリースを検出するための有用なヒューリスティック（経験則）と言えます。同様のパターンは先週の LiteLLM の件 でも見られました。
Via lobste.rs
Tags: javascript, security, npm, supply-chain
原文を表示
Supply Chain Attack on Axios Pulls Malicious Dependency from npm
Useful writeup of today's supply chain attack against Axios, the HTTP client NPM package with 101 million weekly downloads. Versions 1.14.1 and 0.30.4 both included a new dependency called plain-crypto-js which was freshly published malware, stealing credentials and installing a remote access trojan (RAT).
It looks like the attack came from a leaked long-lived npm token. Axios have an open issue to adopt trusted publishing, which would ensure that only their GitHub Actions workflows are able to publish to npm. The malware packages were published without an accompanying GitHub release, which strikes me as a useful heuristic for spotting potentially malicious releases - the same pattern was present for LiteLLM last week as well.
Via lobste.rs
Tags: javascript, security, npm, supply-chain
関連記事
今日のまとめ
AIデイリーブリーフで今日の重要ニュースをまとめ読み