Aku; DR
Hōʻike ka axios npm compromise pehea e hoʻouka ai ke kaulahao lako hou hoʻohana i nā hilinaʻi hilinaʻi e komo i ka ʻikepili koʻikoʻi i ka wā holo. Ua kālailai ʻia kēia hanana e nā mea noiʻi palekana he nui, me nā wehewehe kikoʻī mai Unit42 ka uhi ʻana o ka ʻoihana e hōʻike ana i nā ʻano hoʻohālikelike e pili ana i ka hana aupuni-mokuʻāina.
Hoʻopilikia kēia hanana:
- Ke holo nei nā hui DevOps CI/CD pipelineme ka hōʻoia e pili ana i ke kaiapuni
- Nā lawelawe Backend e lawelawe ana i nā noi API i hōʻoia ʻia
- Nā noi e hoʻohana ana i nā axios no ke kamaʻilio HTTP kūloko a me waho
No ka mea aia ʻo axios ma ka papa noi, hiki i kahi mana i hoʻopilikia ʻia ke komo i:
- Nā poʻomanaʻo ʻae a me Nā hōʻailona API
- Nā loli kaiapuni a me nā mea huna
- Kamaʻilio lawelawe kūloko
ʻAʻole ka hopena maoli ka hilinaʻi ponoʻī, akā ʻo ka mea hiki iā ia ke komo ke hoʻokō ʻia.
Nā hana koke:
- E laka i nā mana hilinaʻi a nānā i nā mea hou i hala koke aku nei
- E hoʻohuli i nā kī API, nā hōʻailona, a me CI/CD palapala hōʻoia
- E nānā i nā noi i waho a me ka hana hōʻoia
- hooia pipelines no nā mea huna i hōʻike ʻia
He aha ka mea i hana ʻia ma ka Axios npm Attack
Ua hahai ka hanana axios i kahi ʻano e ulu nei i nā hoʻouka kaua kaulahao lako, kahi e hoʻopaʻa ai nā mea hoʻouka i nā mea hilinaʻi i hoʻohana nui ʻia ma kahi o nā nāwaliwali o nā noi.
Ma ka hoʻoweliweli ʻana i kahi pūʻolo hilinaʻi, loaʻa i nā mea hoʻouka ka hoʻokō ʻia i loko o nā tausani o nā wahi i ka manawa like.
No ka mea ʻo axios kekahi o nā mea kūʻai aku HTTP i hoʻohana nui ʻia ma ka ʻōnaehana JavaScript, ua hoʻohui nui ʻia ia i loko o:
- Nā lawelawe hope
- Nā noi frontend
- CI/CD pipelines
ʻO kēia ka mea e lilo ai ia i pahuhopu waiwai nui.
Ke hoʻokomo ʻia a hoʻokō ʻia kahi mana ʻino, loaʻa iā ia nā ʻae like me ka polokalamu nāna i lawe mai. ʻO ia hoʻi ke komo ʻana i ke kaʻa pūnaewele, nā palapala hōʻoia, a me nā lawelawe kūloko.
Ua loaʻa i ka ʻaelike ka manaʻo nui ma mua o ke kaiāulu palekana, me nā hōʻike e like me Axios ʻaoʻao pale
e kuhikuhi ana i nā loulou hiki ke hana me nā mea hana hoʻoweliweli holomua a me nā hoʻolaha i hoʻonohonoho ʻia.
He aha ka hana maoli a ka Axios Attack i ka wā Runtime
ʻO ke kī i ka hoʻomaopopo ʻana i kēia hoʻouka kaua ʻana, ʻo ia ka nānā ʻana i ke ʻano o ka runtime.
Hana ʻo Axios ma ka papa HTTP, ʻo ia hoʻi ke lawelawe nei i nā noi i waho. Hāʻawi kēia iā ia i ka ʻike pololei i ka ʻikepili koʻikoʻi e kahe ana ma o ka polokalamu.
Hiki i kahi mana i hoʻopilikia ʻia ke:
- E kāohi i nā noi i waho ma mua o ka hoʻouna ʻia ʻana
- ka hopu
Authorizationnā poʻomanaʻo a me nā hōʻailona API - E komo i nā loli kaiapuni ma o
process.env - E nānā i ke kamaʻilio ʻana ma waena o nā lawelawe kūloko
Eia kekahi laʻana, hiki i kahi mea hoʻopili ʻino ke unuhi i nā poʻomanaʻo hōʻoia a hoʻouna malū iā lākou i kahi hopena waho.
I ka manawa like, ʻo ke komo ʻana i nā loli o ke kaiapuni e hiki ai i nā mea hoʻouka ke kiʻi i nā hōʻoia me ka ʻole o ka hoʻololi ʻana i ka logic noi.
Mai waho mai, ke hoʻomau nei nā mea āpau e hana e like me ka mea i manaʻo ʻia. Hoʻopau pono ʻia nā noi, pane maʻamau nā lawelawe, a pipelineʻAʻole hōʻike nā s i nā hōʻailona o ka hāʻule ʻana. I ka manawa like, ua hōʻike mua ʻia paha ka ʻikepili koʻikoʻi ma o nā ala hoʻokō hope.
Kahe Hoʻouka Axios: Mai ka Pūʻolo i Hoʻopilikia ʻia a i ka Hōʻike Malu
1. Kuʻikahi
Loaʻa i ka mea hoʻouka ka mana ma luna o kahi moʻokāki mālama hilinaʻi a i ʻole ke ala hoʻokuʻu pūʻolo i loko o ka ʻōnaehana axios.
2. Laha
Hoʻopuka ʻia nā mana ʻino i ka npm a huki ʻia i loko o nā mīkini hoʻomohala, CI/CD pipelines, a kūkulu ʻia ka noi ma o nā mea hou e pili ana i ka hilinaʻi maʻamau.
3. Hoʻokō manawa holo
Hoʻokō ʻia ka uku ukana ke lawe ʻia mai a hoʻohana ʻia ʻo axios, e hoʻoilina ana i nā kuleana runtime like me ka noi.
4. Ke komo ʻana malū
Loaʻa i ka hilinaʻi i hoʻopilikia ʻia ka ʻike i nā poʻomanaʻo, nā hōʻailona, nā loli o ke kaiapuni, a me ke kamaʻilio HTTP kūloko.
5. Ka hoʻokahe ʻana i waho
Hoʻouna malū ʻia ka ʻikepili koʻikoʻi i nā ʻōnaehana i kāohi ʻia e ka mea hoʻouka ʻoiai e hoʻomau ka hana maʻamau o nā noi mua.
Nā Hōʻailona o ke Kuʻikahi (IoCs)
No ka noiʻi ʻana i ka hiki ke hōʻike ʻia, pono e hoʻomaka nā hui ma ka nānā ʻana i nā ʻōkuhi i ʻike ʻia e pili ana i ka axios compromise. Hōʻuluʻulu ka papa ma lalo nei i nā hōʻailona pili loa ma nā pūʻolo, ka hana pūnaewele, a me nā mea hana kikowaena.
Pehea e wehewehe ai i kēia mau IoC
ʻOiai he mea pono kēia mau ʻōkuhi, ʻaʻole pono e mālama ʻia lākou ma ke ʻano he hoʻolālā ʻike piha.
I ka hana maoli, ʻaʻole hilinaʻi pinepine nā hoʻouka kaua e like me kēia i hoʻokahi hōʻailona paʻa. Hoʻololi nā kikowaena, ulu nā ukana, a lilo koke nā hashes i mea kahiko. ʻO ka mea e mau ana, ʻo ia ke ʻano.
Eia kekahi laʻana, ʻo nā noi i waho i manaʻo ʻole ʻia i ka wā o ka hoʻokō HTTP maʻamau hiki ke hōʻike i ka exfiltration ʻikepili. Pēlā nō, ʻo ka hoʻohana ʻana i nā palapala hōʻoia kūpono i nā pōʻaiapili maʻamau ʻole e hōʻike pinepine ana ua hōʻike mua ʻia nā mea huna.
Ma ka pae kikowaena, ʻo ke alo o nā palapala manawa pōkole a i ʻole nā binaries e hōʻike i ka hana ma hope o ka hoʻohana ʻana, ʻoiai ke hui pū ʻia me nā anomalies pūnaewele.
I nā huaʻōlelo ʻē aʻe, kōkua nā IoC iā ʻoe e hōʻoia i kahi hanana.
Eia nō naʻe, ʻo ka hoʻomaopopo ʻana i ke ʻano hana ka mea e hiki ai iā ʻoe ke ʻike mua.
| Māhele | anakahi | Details |
|---|---|---|
| pūʻolo | axios@1.14.1 | shasum: 2553649f2322049666871cea80a5d0d6adc700ca |
| pūʻolo | axios@0.30.4 | shasum: d6f3f62fd3b9f5432f5782b62d8cfd5247d5ee71 |
| Kūlana | plain-crypto-js@4.2.1 | shasum: 07d889e2dadce6f3910dcbc253317d28ca61c766 |
| Leakaʻaʻike | sfrclak[.]com | kikowaena kauoha-a-kaohi |
| Leakaʻaʻike | 142.11.206[.]73 | IP ʻōnaehana pili |
| Leakaʻaʻike | http://sfrclak[.]com:8000/6202033 | Ka hopena exfiltration i ʻike ʻia |
| macOS | /Library/Caches/com.apple.act.mond | SHA256: 92ff08773995ebc8d55ec4b8e1a225d0d1e51efa4ef88b8849d0071230c9645a |
| Windows | %PROGRAMDATA%\wt.exe | Mea hana hoʻomau hiki |
| Windows | %TEMP%\6202033.vbs | Mea hana hoʻokō i hoʻokumu ʻia i ka palapala |
| Windows | %TEMP%\6202033.ps1 | Ukana PowerShell. SHA256: 617b67a8e1210e4fc87c92d1d1da45a2f311c08d26e89b12307cf583c900d101 |
| Linux | /tmp/ld.py | SHA256: fcb81618bb15edfdedfb638b4c08a2af9cac9ecfa551af135a8402bf980375cf |
Palapala noiʻi: He wahi hoʻomaka pono kēia mau IoC no ka ʻimi ʻana i nā hoʻoweliweli. Eia nō naʻe, hiki i nā mea hoʻouka ke hoʻololi koke i nā kikowaena, nā ukana, a me nā mea hana. No kēlā kumu, pono nā hui e hoʻopili i kēia mau ʻōkuhi me nā hōʻailona hana e like me ke kaʻa HTTP i waho i manaʻo ʻole ʻia, ke komo ʻana i nā mea ʻē aʻe. process.env, a me nā mea hou e pili ana i ka hilinaʻi ʻokoʻa.
Laʻana: Pehea e hiki ai i kahi Axios npm Dependency i hoʻopilikia ʻia ke hoʻokaʻawale i ka ʻikepili
No ka hoʻomaopopo ʻana pehea e hana ai kēia hoʻouka kaua Axios npm i ka hana maoli, e noʻonoʻo i kahi laʻana i hoʻomaʻalahi ʻia.
ʻAe ʻo Axios i nā mea hoʻomohala e wehewehe i nā mea hoʻopaʻa noi. Hoʻokō ponoʻī kēia mau mea hoʻopaʻa ma mua o kēlā me kēia noi HTTP.
Hiki i kahi mana ʻino o axios ke hana ʻino i kēia ʻano hana:
No ke aha he mea weliweli ka hoʻouka kaua ʻana o Axios npm
I ka nānā mua ʻana, ʻaʻohe mea i hewa. Ua hoʻokō pono ʻia ke noi, hana ka noi e like me ka mea i manaʻo ʻia, a pipelinee hoʻomau i ka hala ʻana me ka ʻole o nā hewa.
Eia nō naʻe, hana ʻia nā kikoʻī koʻikoʻi ma mua o ka hoʻouna ʻia ʻana o ke noi. I loko o kēlā puka hoʻokō, hiki i ka hilinaʻi i hoʻopilikia ʻia ke komo mālie a hōʻiliʻili i nā ʻikepili koʻikoʻi e like me nā poʻomanaʻo ʻae, nā hōʻailona API, nā metadata noi, a me nā loli kaiapuni.
Ma muli o ka holo ʻana o kēia logic i loko o kahi waihona hilinaʻi e kū pololei ana ma ke ala noi HTTP, hana pono ia me nā pono like me ka polokalamu ponoʻī. ʻO ka hopena, hiki iā ia ke komo i ka ʻikepili i pale ʻia mai nā mea hoʻouka kūwaho.
ʻO ka mea e hoʻoweliweli ai i kēia, ʻaʻole wale ke komo ʻana i ka ʻikepili, akā, ʻo ka nele o ka hopena i ʻike ʻia. ʻAʻohe hoʻopilikia i ka hana, ʻaʻohe noi i hāʻule, a ʻaʻohe hōʻailona koke e hewa ana kekahi mea. Mai kahi kuanaʻike hana, ke hoʻomau nei nā mea āpau e hana e like me ka mea i manaʻo ʻia.
I kēia manawa, ke haʻalele nei paha ka ʻike koʻikoʻi i ka ʻōnaehana ma o nā pilina waho e hui pū ana me ke kaʻa noi maʻamau.
No ke aha he pilikia DevOps mua kēia
No nā hui DevOps, he paʻakikī loa ka ʻike ʻana i kēia ʻano hoʻouka kaua no ka mea hoʻohui pono ia i nā kahe hana e kū nei.
Hoʻokomo ʻia nā mea hilinaʻi me ka ʻakomi, pipelinehoʻokō maʻamau, a ʻaʻohe hemahema koke e loaʻa.
I ka manawa like, CI/CD Hōʻike pinepine nā wahi i nā hōʻoia waiwai nui, me:
- Nā hōʻailona mea hoʻolako ao
- Nā kī hoʻolaha
- CI/CD nā mea huna hōʻoia
Hiki i kahi hilinaʻi i hoʻopilikia ʻia e holo ana ma kēia ʻano ke komo pololei i kēlā mau hōʻoia.
Hoʻokumu kēia i kahi kūlana kahi e like ai nā mea āpau me he mea lā maʻamau, ʻoiai ke komo ʻia nei nā ʻikepili koʻikoʻi ma ke kua.
Ka Pōpilikia Maoli: Ka Hōʻike Malu ma ka Pākuʻi
Hōʻike ka ʻaelike axios npm i kahi hoʻololi koʻikoʻi i nā hoʻolālā hoʻouka kaua hou.
ʻAʻole ka pahuhopu e hoʻohana hou i nā nāwaliwali, akā e komo i nā palapala hōʻoia kūpono.
Ma muli o ka hilinaʻi ʻana o nā ʻōnaehana hou i ka hōʻoia e pili ana i ke kaiapuni, hiki i kahi hilinaʻi e holo ana i ka wā runtime ke komo i:
- Nā kī API
- Nā hōʻailona lawelawe
- Nā palapala hōʻoia ao
ʻAʻole pono e uhaki ʻia kēia mau palapala hōʻoia.
Pono e hoʻohana wale ʻia lākou.
Hiki i kēia i nā mea hoʻouka ke neʻe i ka ʻaoʻao, komo i nā lawelawe, a unuhi i ka ʻikepili me ka hoʻohana ʻana i ka hōʻoia kūpono.
ʻO ka hopena, pili ka hopena i nā mea huna i hōʻike ʻia, ʻaʻole ma ke ʻano o ka hoʻokō ʻia ʻana o ka hoʻouka kaua.
No ke aha e nele ai nā mea hana palekana kuʻuna i kēia
Ua paʻakikī nā ʻano kuʻuna e ʻike i kēia mau hoʻouka kaua no ka mea ke nānā nei lākou i nā nāwaliwali i ʻike ʻia a i ʻole nā pūlima paʻa. Eia naʻe, e like me ka mea i hōʻike ʻia ma Ka loiloi a OpenAI o ka hoʻokuʻu ʻana o ka mea hana hoʻomohala axios, puka mai ka pilikia maoli i ka wā holo, kahi e launa pū ai nā mea hilinaʻi hilinaʻi me ka ʻikepili koʻikoʻi.
Eia nō naʻe, ʻaʻole paha e loaʻa i kahi hilinaʻi i hoʻopilikia ʻia kekahi mau hōʻailona maopopo.
Aia paha:
- ʻAʻohe CVE
- ʻAʻohe pūlima ʻino
- ʻAʻohe syntax maʻamau ʻole
I ka manawa like, ʻaʻole loiloi ka loiloi static i ke ʻano o ka runtime. ʻAʻole hiki iā ia ke hoʻoholo pehea e launa pū ai kahi hilinaʻi me ka ʻikepili koʻikoʻi ke hoʻokō ʻia.
Hoʻokumu kēia i kahi āpau kahi e ʻike ʻia ai ke code he palekana i ka wā o ka nānā ʻana akā lilo i mea pilikia i ka wā o ka hoʻokō ʻana.
Pehea e ʻike ai a pale aku i nā hoʻouka kaua Axios npm-like
ʻO ka pale ʻana i kēia ʻano hoʻouka kaua Axios npm e pono ai kahi hoʻololi mai ka nānā static a i ka ʻike runtime.
Pono nā hui e ʻike i ke ʻano o ka hana ʻana o nā mea hilinaʻi, ʻaʻole wale i ka mea i loko.
Eia kēia:
- Ka nānā ʻana i ke komo ʻana i ka ʻikepili koʻikoʻi i ka wā e holo ai
- Ke ʻike nei i nā mea huna ma mua o ko lākou hiki ʻana i nā waihona
- Ka nānāʻana pipelinenā mea hana a me nā mea hana no nā hōʻoia i hōʻike ʻia
- Ke nānā nei i ka hana pūnaewele i waho no nā ʻano ʻē
Eia nō naʻe, ʻaʻole lawa ka ʻike wale ʻana.
Mai ka ʻIke ʻana a i ka Pale ʻana: He aha ka mea e hōʻemi maoli ai i ka pilikia
Ma hope o kahi hanana e like me kēia, kū pinepine nā hui i kahi nui o nā hōʻoia i hōʻike ʻia.
ʻAʻole ka loaʻa ʻana o lākou ka pilikia. Akā, ʻo ka ʻike ʻana i nā mea nui.
ʻO ka nīnau koʻikoʻi e lilo i:
He aha nā mea huna e pono mau ana a hiki ke hoʻohana ʻia?
Me ka ʻole o ka hōʻoia, hoʻolilo nā hui i ka manawa ma nā palapala hōʻoia hana ʻole ʻoiai e mau ana nā pilikia maoli.
Pono ka pane kūpono:
- Ke ʻike ʻana i nā mea huna i hōʻike ʻia
- Ke hōʻoia nei inā hāʻawi mau lākou i ke komo ʻana
- Ke hoʻopau koke ʻana a hoʻololi paha iā lākou
Hoʻemi kēia i ka manawa hōʻike a kaupalena i ka puka makani o ka mea hoʻouka.
Pehea e kōkua ai ʻo Xygeni i ka hōʻemi ʻana i ka pilikia o ke kaulahao lako
ʻO Xygeni hoʻoponopono i kēia pilikia ma ka hoʻohui ʻana i ka ʻike ʻana, ka hōʻoia ʻana, a me ka hoʻoponopono ʻana i loko o hoʻokahi kaʻina hana.
Hoʻomaopopo mau ia i nā mea huna i hōʻike ʻia ma waena o ke code, pipelines, a me nā mea hana lima. I ka manawa like, hōʻoia ia inā e hana mau ana kēlā mau palapala hōʻoia i ke kaiapuni.
ʻAe kēia i nā hui e kālele i nā mea a nā mea hoʻouka e hoʻohana maoli ai.
Ke ʻike ʻia nā mea huna hana, kōkua nā kahe hana hoʻoponopono aunoa i ka hōʻemi ʻana i ka manawa hōʻike ma o ka hoʻopau ʻana a i ʻole ka hoʻohuli ʻana i kāohi ʻia.
ʻO ka hopena, e wikiwiki ka pane ʻana, ʻoi aku ka maʻalahicise, a emi iki ka hoʻopilikia.
Panina
Hōʻike ka axios npm compromise pehea e ulu nei nā hoʻouka kaua kaulahao lako.
ʻAʻole pono hou nā mea hoʻouka kaua e uhaki i nā ʻōnaehana. Hilinaʻi lākou i nā mea hilinaʻi hilinaʻi e komo i ka ʻikepili koʻikoʻi i ka wā o ka hoʻokō ʻana.
No nā hui DevOps, ʻo ia hoʻi ka hoʻomaopopo ʻana i ke ʻano o ka runtime. No nā alakaʻi palekana, ʻo ia hoʻi ka hōʻemi ʻana i ka ʻike koke a me ka maikaʻi.
No ka mea, i nā ʻano o kēia au, ʻo ka pilikia nui ʻaʻole ia ka mea i hoʻokō ʻia.
ʻO ia ka mea e komo ai ke holo ia.
