Axios NPMパッケージがサプライチェーン攻撃で侵害される
概要
[email protected]と[email protected]の2つの悪意のあるAxios npmパッケージのリリースがサプライチェーン攻撃で侵害され、セキュリティ企業は影響を受けたシステムを完全に侵害されたものとみなし、APIキーやセッション・トークンを含むすべての認証情報を直ちにローテーションするよう開発者に強く求めました。この侵害では、パッケージが悪意のある依存関係である[email protected]を取り込むように変更されており、これはインストール後スクリプトを通じてインストール時に自動的に実行され、攻撃者がログイン認証情報や暗号ウォレット情報などの機密データを盗むために感染デバイスへのリモートアクセスを許可する可能性がありました。この事件は、単一の侵害されたオープンソースコンポーネントが多数のアプリケーションに波及する重大なリスクを浮き彫りにしています。
(出典:Cointelegraph)