TL, DR
Ny axios npm compromise dia mampiseho ny fomba fanafihan'ny rojo famatsiana maoderina manararaotra ireo fiankinan-doha azo itokisana mba hidirana amin'ny angon-drakitra saro-pady mandritra ny fotoana fiasana. Nohadihadian'ireo mpikaroka momba ny fiarovana maromaro ity tranga ity, anisan'izany ny antsipiriany avy amin'ny Unit42 fandrakofam-baovao momba ny indostria manasongadina ireo lamina fanomezana andraikitra mifandraika amin'ny asan'ny firenena iray manontolo.
Ity tranga ity dia misy fiantraikany amin'ny:
- Ireo ekipa DevOps miasa CI/CD pipelines miaraka amin'ny fanamarinana mifototra amin'ny tontolo iainana
- Serivisy Backend mikarakara fangatahana API voamarina
- Fampiharana mampiasa axios ho an'ny fifandraisana HTTP anatiny sy ivelany
Satria mipetraka ao amin'ny sosona fangatahana ny axios, ny dikan-teny voajirika dia afaka miditra amin'ny:
- Lohatenin'ny fahazoan-dàlana sy API token
- Fiovaovan'ny tontolo iainana sy tsiambaratelo
- Fifandraisana anatiny amin'ny serivisy
Ny tena fiantraikany dia tsy ny fiankinan-doha mihitsy, fa izay azony idirana rehefa tanterahina.
Hetsika eo noho eo:
- Hidio ireo dikan-teny miankina ary avereno jerena ireo fanavaozana farany
- Ahodino ny fanalahidy API, ny tokens, ary CI/CD Syndicate
- Araho maso ny fangatahana mivoaka sy ny hetsika fanamarinana
- Hanaraha-maso pipelines ho an'ny tsiambaratelo miharihary
Inona no nitranga tamin'ny fanafihana npm Axios
Ny tranga axios dia manaraka lamina mitombo amin'ny fanafihana amin'ny rojo famatsiana, izay ikendrena ireo fiankinan-doha ampiasaina betsaka ny mpanafika fa tsy ireo fahalemen'ny fampiharana.
Amin'ny alàlan'ny fanaovana tsinontsinona ny fonosana azo itokisana, dia mahazo ny famonoana azy ireo ao anatin'ny tontolo an'arivony miaraka ireo mpanafika.
Satria iray amin'ireo mpanjifa HTTP be mpampiasa indrindra ao amin'ny tontolo iainana JavaScript ny axios, dia tafiditra lalina ao anatin'ny:
- Serivisy backend
- Fampiharana eo anoloana
- CI/CD pipelines
Izany no mahatonga azy ho lasibatra sarobidy.
Raha vao ampidirina sy ampiasaina ny dikan-teny ratsy dia mandova ny fahazoan-dàlana mitovy amin'ny fampiharana nanafatra azy izy. Tafiditra ao anatin'izany ny fidirana amin'ny fifamoivoizana tambajotra, ny fahazoan-dàlana ary ny serivisy anatiny.
Nahazo ny sain'ny besinimaro kokoa ankoatra ny vondrom-piarovana ihany koa ny marimaritra iraisana, miaraka amin'ny tatitra toy ny Axios fandrakofana
manondro ireo fifandraisana mety hitranga amin'ireo mpisehatra fandrahonana mandroso sy ireo fampielezan-kevitra voarindra.
Ny tena ataon'ny Axios Attack mandritra ny Runtime
Ny fanalahidin'ny fahatakarana ity fanafihana ity dia ny fifantohana amin'ny fitondran-tenan'ny runtime.
Miasa ao amin'ny sosona HTTP ny Axios, izay midika fa mikarakara fangatahana mivoaka izy. Izany dia manome azy fahitana mivantana ny angon-drakitra saro-pady mikoriana ao anatin'ny fampiharana.
Ny dikan-teny voajirika dia mety:
- Sakanana ireo fangatahana mivoaka alohan'ny handefasana azy ireo
- fisamborana
Authorizationlohateny sy mari-pamantarana API - Midira amin'ny fiovaovan'ny tontolo iainana amin'ny alàlan'ny
process.env - Araho ny fifandraisana eo amin'ireo serivisy anatiny
Ohatra, ny interceptor ratsy fanahy dia afaka maka ny lohatenin'ny fanamarinana ary mamindra azy ireo mangina any amin'ny endpoint ivelany.
Mandritra izany fotoana izany, ny fidirana amin'ireo fiovaovan'ny tontolo iainana dia ahafahan'ny mpanafika maka ny fahazoan-dàlana tsy mila manova ny lojikan'ny fampiharana.
Avy any ivelany, dia miasa araka ny nantenaina ny zava-drehetra. Vita soa aman-tsara ny fangatahana, mamaly ara-dalàna ny serivisy, ary pipelineTsy mampiseho famantarana ny tsy fahombiazana ny s. Mandritra izany fotoana izany, mety efa hita taratra amin'ny alàlan'ny lalan'ny fampiharana any ambadika ny angon-drakitra saro-pady.
Fikorianan'ny Fanafihana Axios: Avy amin'ny Fonosana Voasakana ho amin'ny Fisehoana Miafina
1. Mandefitra
Mahazo fifehezana amin'ny kaonty mpitazona azo itokisana na ny lalan'ny famoahana fonosana ao anatin'ny tontolo iainana axios ny mpanafika.
2. Fizarana
Avoaka ao amin'ny npm ireo dikan-teny ratsy ary sintonina ao amin'ny milina mpamorona, CI/CD pipelines, ary ny fampiharana dia miorina amin'ny alàlan'ny fanavaozana ny fiankinan-doha mahazatra.
3. Fampiharana mandritra ny fotoana fiasana
Tanterahina ny payload rehefa ampidirina sy ampiasaina ny axios, ka mandova ny tombontsoa mitovy amin'ny runtime amin'ny fampiharana.
4. Fidirana miafina
Mahazo fahitana ireo lohateny, token, variables environment, ary fifandraisana HTTP anatiny ny fiankinan-doha voajirika.
5. Fandroahana ny rano maloto
Alefa mangina any amin'ny fotodrafitrasa fehezin'ny mpanafika ny angon-drakitra saro-pady raha mbola miasa ara-dalàna kosa ireo fangatahana voalohany.
Ireo famantarana ny marimaritra iraisana (IoCs)
Mba handinihana ny mety ho fiantraikan'ny axios, dia tokony hanomboka amin'ny famerenana ireo tondro fantatra mifandraika amin'ny axios compromise ny ekipa. Ny tabilao etsy ambany dia mamintina ireo famantarana manan-danja indrindra amin'ny fonosana, ny asan'ny tambajotra, ary ny artifacts an'ny mpampiantrano.
Ahoana ny fandikana ireo IoC ireo
Na dia mahasoa aza ireo mari-pamantarana ireo, dia tsy tokony hoheverina ho paikady feno hamantarana izany.
Amin'ny fampiharana, mahalana vao miantehitra amin'ny famantarana statika tokana ny fanafihana toy izao. Miova ny sehatra, mivoatra ny entana, ary lany andro haingana ny hash. Ny fihetsika no mbola tsy miova.
Ohatra, ny fangatahana mivoaka tsy ampoizina mandritra ny fanatanterahana HTTP mahazatra dia mety manondro ny fanesorana ny angona. Toy izany koa, ny fampiasana fahazoan-dàlana manan-kery amin'ny toe-javatra tsy mahazatra dia matetika manondro fa efa niharihary ny tsiambaratelo.
Eo amin'ny sehatry ny mpampiantrano, ny fisian'ny script na binary vonjimaika dia mety manondro hetsika aorian'ny fanararaotana, indrindra rehefa ampiarahina amin'ny anomalian'ny tambajotra.
Raha lazaina amin'ny teny hafa, ny IoC dia manampy anao hanamarina tranga iray.
Na izany aza, ny fahatakarana ny fitondran-tena no ahafahanao mamantatra izany dieny mbola kely.
| SOKAJY | famantarana | Details |
|---|---|---|
| Package | axios@1.14.1 | shasum: (or) shasum: 2553649f2322049666871cea80a5d0d6adc700ca |
| Package | axios@0.30.4 | shasum: (or) shasum: d6f3f62fd3b9f5432f5782b62d8cfd5247d5ee71 |
| fiankinan-doha | plain-crypto-js@4.2.1 | shasum: (or) shasum: 07d889e2dadce6f3910dcbc253317d28ca61c766 |
| Network | sfrclak[.]com | Sehatra fibaikoana sy fanaraha-maso |
| Network | 142.11.206[.]73 | IP fotodrafitrasa mifandraika amin'izany |
| Network | http://sfrclak[.]com:8000/6202033 | Teboka farany amin'ny exfiltration voamarika |
| macOS | /Library/Caches/com.apple.act.mond | SHA256: 92ff08773995ebc8d55ec4b8e1a225d0d1e51efa4ef88b8849d0071230c9645a |
| Windows | %PROGRAMDATA%\wt.exe | Zavatra mety haharitra |
| Windows | %TEMP%\6202033.vbs | Artifact fanatanterahana mifototra amin'ny script |
| Windows | %TEMP%\6202033.ps1 | Entana PowerShell. SHA256: 617b67a8e1210e4fc87c92d1d1da45a2f311c08d26e89b12307cf583c900d101 |
| Linux | /tmp/ld.py | SHA256: fcb81618bb15edfdedfb638b4c08a2af9cac9ecfa551af135a8402bf980375cf |
Fanamarihana momba ny fanadihadiana: Ireo IoC ireo dia teboka fanombohana mahasoa amin'ny fihazana fandrahonana. Na izany aza, afaka mamadika haingana ny sehatra, ny entana ary ny zavatra simba ny mpanafika. Noho izany antony izany, ny ekipa dia tokony hampifandray ireo famantarana ireo amin'ny famantarana fitondran-tena toy ny fifamoivoizana HTTP mivoaka tsy ampoizina, ny fidirana tsy ara-dalàna amin'ny process.env, ary fanavaozana ny fiankinan-doha tsy mahazatra.
Ohatra: Ahoana no ahafahan'ny fiankinan-doha Axios npm voasakana manala ny angona
Mba hahatakarana ny fomba fiasan'ity fanafihana npm Axios ity amin'ny fampiharana, dia diniho ity ohatra tsotra ity.
Ny Axios dia ahafahan'ny mpamorona mamaritra ireo "request interceptors". Ireo "interceptors" ireo dia miasa ho azy alohan'ny fangatahana HTTP tsirairay.
Mety hanararaotra ity fomba fiasa ity ny dikan-teny ratsy an'ny axios:
Nahoana no mampidi-doza ny fanafihana npm Axios
Raha vao jerena dia toa tsy misy olana. Tanteraka soa aman-tsara ny fangatahana, miasa araka ny nantenaina ny fampiharana, ary pipelinemanohy mandalo tsy misy lesoka ny s.
Na izany aza, ny antsipiriany manan-danja dia mitranga alohan'ny handefasana ny fangatahana. Mandritra io fe-potoana fanatanterahana io, ny fiankinan-doha voajirika dia afaka miditra mangina sy manangona angon-drakitra saro-pady toy ny lohatenin'ny fahazoan-dàlana, ny marika API, ny metadata fangatahana ary ny variables tontolo iainana.
Satria miasa ao anatin'ny tranomboky azo itokisana izay mipetraka mivantana ao amin'ny lalan'ny fangatahana HTTP ity lojika ity, dia miasa amin'ny tombontsoa mitovy amin'ny fampiharana mihitsy izy. Vokatr'izany, afaka miditra amin'ny angona izay mazàna voaaro amin'ny mpanafika ivelany izy.
Ny tena mahatonga ity ho mampidi-doza dia tsy ny fidirana amin'ny angon-drakitra fotsiny ihany, fa ny tsy fisian'ny fiantraikany hita maso ihany koa. Tsy misy fikorontanan'ny fiasa, tsy misy fangatahana tsy nahomby, ary tsy misy famantarana avy hatrany fa misy zavatra tsy mety. Raha jerena amin'ny lafiny fiasa, dia mitohy miasa araka ny nantenaina ny zava-drehetra.
Mandritra izany fotoana izany, mety efa miala ny rafitra amin'ny alàlan'ny fifandraisana mivoaka izay mifangaro amin'ny fifamoivoizana fampiharana mahazatra ny fampahalalana saro-pady.
Nahoana no olana DevOps aloha ity
Ho an'ny ekipa DevOps, ity karazana fanafihana ity dia tena sarotra hita satria mifandray tsara amin'ny fomba fiasa efa misy.
Mametraka ho azy ny dependencies, pipelinemiasa ara-dalàna ny s, ary tsy misy tsy fahombiazana mitranga avy hatrany.
Mandritra izany fotoana izany, CI/CD Matetika ny tontolo iainana dia mampiharihary mari-pahaizana sarobidy, anisan'izany:
- Token mpamatsy rahona
- Fanalahidin'ny fametrahana
- CI/CD tsiambaratelo fanamarinana
Afaka miditra mivantana amin'ireo fahazoan-dàlana ireo ny fiankinan-doha simba izay miasa amin'ity toe-javatra ity.
Izany dia miteraka toe-javatra izay toa ara-dalàna ny zava-drehetra, nefa misy miditra amin'ny angona saro-pady any ambadika.
Ny tena loza mety hitranga: Fisehoana miafina amin'ny ambaratonga lehibe
Ny fifanarahana axios npm dia manasongadina fiovana lehibe eo amin'ny paikady fanafihana maoderina.
Tsy ny hanararaotra ireo fahalemena intsony no tanjona, fa ny hidirana amin'ny fahazoan-dàlana manan-kery.
Satria miantehitra amin'ny fanamarinana mifototra amin'ny tontolo iainana ny rafitra maoderina, ny fiankinan-doha miasa amin'ny runtime dia afaka miditra amin'ny:
- API keys
- Token'ny serivisy
- Fahazoan-dàlana amin'ny rahona
Tsy mila hovaina ireo fahazoan-dalana ireo.
Izy ireo ihany no mila ampiasaina.
Izany dia ahafahan'ny mpanafika mifindrafindra toerana, miditra amin'ny serivisy, ary maka angona amin'ny alàlan'ny fanamarinana ara-dalàna.
Vokatr'izany, ny fiantraikany dia miankina amin'ny tsiambaratelo miharihary, fa tsy amin'ny fomba fanatanterahana ny fanafihana.
Nahoana no tsy mahita izany ireo fitaovana fiarovana nentim-paharazana
Sahirana amin'ny famantarana ireo fanafihana ireo ny fomba nentim-paharazana satria mifantoka amin'ny fahalemena fantatra na famantarana tsy miovaova izy ireo. Na izany aza, araka ny nasongadina tao amin'ny Fanadihadiana nataon'ny OpenAI Amin'ny fahasimban'ny fitaovana mpamorona axios, ny tena risika dia mipoitra mandritra ny fotoana fiasana, izay ifandraisan'ny fiankinan-doha azo itokisana amin'ny angona saro-pady.
Na izany aza, ny fiankinan-doha simba dia mety tsy ahitana famantarana miharihary.
Mety misy:
- Tsy misy CVE
- Tsy misy sonia manimba
- Tsy misy fitsipiteny tsy ara-dalàna
Etsy ankilany, ny fanadihadiana statika dia tsy manombana ny fihetsiky ny "runtime". Tsy afaka mamaritra ny fomba ifandraisan'ny fiankinan-doha amin'ny angon-drakitra saro-pady rehefa tanterahina izy.
Izany dia mamorona banga izay toa azo antoka ny kaody mandritra ny famakafakana nefa lasa mampidi-doza mandritra ny fanatanterahana.
Ahoana no hamantarana sy hisorohana ny fanafihana mitovy amin'ny Axios npm
Ny fisorohana ity karazana fanafihana npm Axios ity dia mitaky fiovana avy amin'ny fanaraha-maso static mankany amin'ny fahatsiarovan-tena amin'ny fotoana fiasana.
Mila fahitana mazava tsara ny fomba fitondran-tenan'ny fiankinan-doha ny ekipa, fa tsy izay ao anatiny fotsiny.
Izany dia ahitana:
- Fanaraha-maso ny fidirana amin'ny angona saro-pady mandritra ny fotoana fiasana
- Famantarana ny tsiambaratelo alohan'ny hahatongavany any amin'ny tahiry
- scanning pipelines sy artifacts ho an'ny fahazoan-dàlana miharihary
- Fanaraha-maso ny fiasan'ny tambajotra mivoaka mba hahitana ireo tsy fetezana
Na izany aza, tsy ampy ny famantarana fotsiny.
Manomboka amin'ny Fitiliana ka hatramin'ny Fisorohana: Inona no Tena Mampihena ny Loza?
Aorian'ny tranga toy izao, matetika ireo ekipa dia miatrika mari-pahaizana maro mety ho hita miharihary.
Tsy ny fitadiavana azy ireo no fanamby, fa ny famantarana izay zava-dehibe.
Ny fanontaniana fototra dia lasa hoe:
Inona avy ireo tsiambaratelo mbola manan-kery sy azo hararaotina?
Raha tsy misy fanamarinana, dia mandany fotoana amin'ny fahazoan-dàlana tsy miasa ny ekipa raha mbola misy kosa ny tena risika.
Ny valiny mahomby dia mitaky:
- Famantarana ny tsiambaratelo miharihary
- Manamarina raha mbola manome alalana hidirana izy ireo
- Fanafoanana na fanoloana azy ireo haingana
Mampihena ny fotoana isehoan'ny fanafihana izany ary mametra ny varavarankelin'ny mpanafika.
Ahoana no anampian'ny Xygeni hampihena ny risika amin'ny rojo famatsiana
Xygeni mamaha io olana io amin'ny alàlan'ny fampifangaroana ny fitadiavana, ny fanamarinana ary ny fanarenana ao anaty fomba fiasa tokana.
Mamantatra tsy tapaka ireo tsiambaratelo miharihary manerana ny kaody izy io, pipelines, ary artifacts. Mandritra izany fotoana izany, manamarina raha mbola miasa ao amin'ny tontolo iainana ireo fahazoan-dàlana ireo.
Izany dia ahafahan'ny ekipa mifantoka amin'izay tena ampiasain'ny mpanafika.
Raha vao fantatra ireo tsiambaratelo mavitrika, dia manampy amin'ny fampihenana ny fotoana fisehoan'ny olana amin'ny alàlan'ny fanafoanana na ny fihodinana voafehy ireo fomba fiasa fanarenana mandeha ho azy.
Vokatr'izany, miha-haingana kokoa ny valiny, miha-miomana kokoacise, ary tsy dia manelingelina loatra.
Famaranana
Ny axios npm compromise dia maneho ny fivoaran'ny fanafihana amin'ny rojo famatsiana.
Tsy mila manimba rafitra intsony ireo mpanafika. Miantehitra amin'ny fiankinan-doha azo itokisana izy ireo mba hidirana amin'ny angon-drakitra saro-pady mandritra ny fanatanterahana azy.
Ho an'ny ekipa DevOps, midika izany fa mahatakatra ny fitondran-tena mandritra ny fotoana fiasana. Ho an'ireo mpitarika ny fiarovana, midika izany fa mampihena haingana sy mahomby ny fiparitahan'ny olana.
Satria amin'ny tontolo maoderina, ny risika lehibe indrindra dia tsy izay tanterahina.
Izany no azo idirana rehefa mandeha.
