অক্সিয়স লাইব্রেরিতে সাপ্লাই চেইন আক্রমণ হয়েছে, ক্ষতিকারক প্যাকেজগুলি ক্লাউড পরিবেশের ৮০% কে প্রভাবিত করেছে

ChainCatcher-এর সংবাদ অনুযায়ী, আক্রমণকারীরা জাভাস্ক্রিপ্টের সবচেয়ে জনপ্রিয় HTTP ক্লায়েন্ট লাইব্রেরি Axios-এর প্রধান মেইনটেনারের npm অ্যাক্সেস টোকেন চুরি করেছে এবং সেই টোকেন ব্যবহার করে দুটি ম্যালওয়্যার ভার্সন (axios@1.14.1 এবং axios@0.3.4) প্রকাশ করেছে, যা macOS, Windows এবং Linux সিস্টেমগুলিকে লক্ষ্য করে। এই ম্যালওয়্যার প্যাকেজগুলি npm রেজিস্ট্রিতে প্রায় 3 ঘন্টা ধরে থাকার পর সরিয়ে ফেলা হয়। সিকিউরিটি কোম্পানি Wiz-এর ডেটা অনুযায়ী, Axios-এর সপ্তাহিক ডাউনলোড 1 বিলিয়নেরও বেশি, এবং এটি প্রায় 80% ক্লাউড এবং কোড পরিবেশে বিদ্যমান। সিকিউরিটি কোম্পানি Huntress-এর মতে, ম্যালওয়্যার প্যাকেজগুলি আপলোডের 89 সেকেন্ডেরও কম সময়ের মধ্যেই প্রথম সংক্রমণগুলি শনাক্ত করা হয়েছিল, এবং এক্সপোজার উইন্ডোতে 135-এরও বেশি সিস্টেমের সংক্রমণ নিশ্চিত করা হয়েছিল। মনেযোগ্যভাবে, Axios-এর প্রকল্পটি OIDC-ভিত্তিক可信发布机制 (trusted publishing) এবং SLSA-সোর্স-ট্রেসিংয়ের মতো 현대적 보안 조치গুলি 이미 도입했지만, 공격자들은 이러한 방어선들을 완전히 우회했다. 조사 결과, 프로젝트는 OIDC를 구성하면서도 전통적인 장기 유효한 NPM_TOKEN을 여전히 유지하고 있었고, npm은 둘 다 존재할 경우 기본적으로 전통적인 토큰을 우선 사용하도록 설정되어 있어, 공격자는 OIDC를 우회하지 않고도 배포를 완료할 수 있었다.