وفقًا لـ VentureBeat، سرق المهاجمون رمز وصول npm لمُصَحِّح Axios الرئيسي، وهو أكثر مكتبات HTTP لـ JavaScript شيوعًا، واستخدموا هذا الرمز لنشر نسختين خبيثتين تحتويان على حصان طروادة للوصول عن بُعد متعدد المنصات (RAT) (axios@1.14.1 و axios@0.30.4)، مستهدفين أنظمة macOS و Windows و Linux. تم إزالة الحزم الخبيثة من سجل npm بعد حوالي 3 ساعات من نشرها. وفقًا لبيانات شركة الأمن Wiz، يتم تنزيل Axios أكثر من 100 مليون مرة أسبوعيًا، وهو موجود في حوالي 80% من بيئات السحابة والكود. وقامت شركة الأمن Huntress بالكشف عن أول حالات الإصابة بعد 89 ثانية فقط من نشر الحزمة الخبيثة، وتأكيد إصابة ما لا يقل عن 135 نظامًا خلال فترة التعرض. تجدر الإشارة إلى أن مشروع Axios كان قد نفّذ بالفعل تدابير أمان حديثة مثل آلية النشر الموثوقة OIDC وإثبات المصدر SLSA، لكن المهاجمين تجاوزوا هذه الحمايات بالكامل. وأظهر التحقيق أن المشروع كان لا يزال يحتفظ بـ NPM_TOKEN التقليدي طويل الأمد أثناء تكوين OIDC، وأن npm يُفضّل تلقائيًا استخدام الرمز التقليدي عند وجود كليهما معًا، مما سمح للمهاجمين بنشر الحزم دون الحاجة إلى اختراق OIDC.
تم استهداف مكتبة Axios بهجوم سلسلة التوريد، وتأثرت 135 نظامًا بحزم ضارة
TechFlowمشاركة
ملخص
انكسرت الأخبار على السلسلة عندما قام المهاجمون باختراق رمز npm الخاص بـ Axios، ونشروا إصدارات ضارة من axios@1.14.1 وaxios@0.30.4 تحتوي على برامج RAT متعددة المنصات. تم تلوث 135 نظامًا في 89 ثانية قبل إزالتها. يُستخدم Axios في 80% من بيئات السحابة، مع أكثر من 100 مليون تنزيل أسبوعي. تجاوز المهاجمون OIDC وSLSA باستخدام NPM_TOKEN طويل الأمد. تظل إضافات الرموز الجديدة محورًا رئيسيًا للمطورين وفرق الأمن.
المصدر:عرض النسخة الأصلية
إخلاء المسؤولية: قد تكون المعلومات الواردة في هذه الصفحة قد حصلت عليها من أطراف ثالثة ولا تعكس بالضرورة وجهات نظر أو آراء KuCoin. يُقدّم هذا المحتوى لأغراض إعلامية عامة فقط ، دون أي تمثيل أو ضمان من أي نوع ، ولا يجوز تفسيره على أنه مشورة مالية أو استثمارية. لن تكون KuCoin مسؤولة عن أي أخطاء أو سهو ، أو عن أي نتائج ناتجة عن استخدام هذه المعلومات.
يمكن أن تكون الاستثمارات في الأصول الرقمية محفوفة بالمخاطر. يرجى تقييم مخاطر المنتج بعناية وتحملك للمخاطر بناء على ظروفك المالية الخاصة. لمزيد من المعلومات، يرجى الرجوع إلى شروط الاستخدام واخلاء المسؤولية.