TL; AMA
O lo'o fa'aalia mai e le axios npm compromise pe faʻapefea ona osofaʻia e le sapalai oloa faʻaonaponei fa'aaoga fa'alagolago fa'atuatuaina e maua ai fa'amatalaga taua i le taimi e fa'agaoioi ai. O lenei mea na tupu ua uma ona iloiloina e le tele o tagata su'esu'e saogalemu, e aofia ai fa'amatalaga auiliili mai Iunite42 faʻamatalaga o alamanuia o loʻo faʻamamafaina ai mamanu o faʻasinomaga e fesoʻotaʻi ma gaioiga a le atunuʻu ma le setete.
O lenei mea na tupu e aʻafia ai:
- O lo'o fa'atinoina e 'au a le DevOps CI/CD pipelines faatasi ai ma le fa'amaoniga fa'avae i le siosiomaga
- Auaunaga i tua e taulimaina talosaga API ua fa'amaonia
- Talosaga e fa'aogaina ai axios mo feso'ota'iga HTTP i totonu ma fafo
Talu ai ona o loʻo i totonu o le vaega o talosaga le axios, e mafai e se lomiga ua faʻaleagaina ona maua:
- Ulutala fa'atagaga ma API fa'ailoga
- Fesuiaiga o le siosiomaga ma mea lilo
- Feso'ota'iga tautua i totonu
O le aʻafiaga moni e lē o le faʻalagolago lava ia, ae o le mea e mafai ona maua pe a faʻatinoina.
Gaioiga vave:
- Lokaina lomiga fa'alagolago ma toe iloilo fa'afouga lata mai
- Fa'ata'amilomilo ki API, fa'ailoga, ma CI/CD faʻamaumauga
- Mata'ituina talosaga e alu atu i fafo ma gaoioiga fa'amaonia
- Suetusi pipelines mo mea lilo ua fa'aalia
O le ā na tupu i le osofaʻiga a le Axios npm
O le mea na tupu i le axios e mulimuli i se mamanu tuputupu aʻe i osofaʻiga i le sapalai o sapalai, lea e taulaʻi ai tagata osofaʻi i mea e faʻaaogaina lautele nai lo vaivaiga o polokalama.
I le faaleagaina o se afifi faatuatuaina, e maua ai e le au osofaʻi le faasalaga oti i totonu o le faitau afe o siosiomaga i le taimi e tasi.
Talu ai ona o le axios o se tasi o HTTP clients e sili ona faʻaaogaina lautele i le JavaScript ecosystem, ua matua fesoʻotaʻi lelei lava i totonu o:
- Au'aunaga pito i tua
- Talosaga pito i luma
- CI/CD pipelines
O le mea lea ua avea ai ma sini taua tele.
O le taimi lava e faʻaofiina ma faʻatinoina ai se faʻatagaga leaga, e maua ai e ia faʻatagaga tutusa e pei o le talosaga na faʻaulufale mai. E aofia ai le avanoa i feoaʻiga i luga o fesoʻotaʻiga, faʻamaoniga, ma auaunaga i totonu.
O le maliega fa'aletulafono na maua ai fo'i le tele o le gauai i tua atu o le vaega o le saogalemu, fa'atasi ai ma lipoti e pei o le Axios inisiua
faasino i sootaga e ono mafai ona iai ma tagata faatino faamataʻu maualuluga ma tauiviga ua tuufaatasia.
O le ā tonu lava le mea e fai e le Axios Attack i le taimi e fa'agaoioi ai
O le ki i le malamalama i lenei osofaʻiga o le taulaʻi atu lea i amioga o le taimi e faʻagaoioia ai.
E fa'agaoioia le Axios i le vaega HTTP, o lona uiga e taulimaina talosaga e alu atu i fafo. O lenei mea e mafai ai ona va'aia sa'o fa'amatalaga taua o lo'o tafe i totonu o le polokalama.
O se lomiga ua fa'aleagaina e mafai ona:
- Puipuia talosaga e alu ese atu a'o le'i auina atu
- puʻe
Authorizationulutala ma fa'ailoga API - Avanoa i fesuia'iga o le siosiomaga e ala i
process.env - Mata'ituina fesootaiga i le va o auaunaga i totonu
Mo se faʻataʻitaʻiga, e mafai e se interceptor leaga ona aveese ulutala faʻamaoniga ma faʻaliliuina atu i se auala filemu i se pito i fafo.
I le taimi lava e tasi, o le avanoa i fesuiaʻiga o le siosiomaga e mafai ai e tagata osofaʻi ona toe maua faʻamaoniga e aunoa ma le suia o le faʻavae o le talosaga.
Mai fafo, o loʻo faʻaauau pea ona galue mea uma e pei ona faʻamoemoeina. Ua maeʻa lelei talosaga, ua tali mai auaunaga e pei ona masani ai, ma pipelineE leai ni fa'ailoga o le toilalo o lo'o fa'aalia. I le taimi lava e tasi, atonu ua uma ona fa'aalia fa'amatalaga taua e ala i auala fa'atino i tua.
Tafega o Osofa'iga a Axios: Mai le Afifi Fa'aleagaina i le Fa'aalia Fa'alilolilo
1. Fa'amautu
E maua e le tagata osofaʻi le pule i luga o se teugatupe tausi maʻi faʻatuatuaina poʻo se auala faʻasaʻoloto afifi i totonu o le axios ecosystem.
2. Tufatufaina
O lomiga leaga e lolomiina i le npm ma tosoina i totonu o masini atiaʻe, CI/CD pipelines, ma e fausia le talosaga e ala i faʻafouga masani o le faʻalagolago.
3. Fa'atinoina o le Taimi Fa'atino
E fa'atino le uta pe a fa'aulufale mai ma fa'aaogaina le axios, ma maua ai avanoa tutusa e pei o le talosaga.
4. Avanoa Faalilolilo
O le faʻalagolago ua faʻaleagaina e maua ai le vaʻaia i ulutala, faʻailoga, fesuiaʻiga o le siosiomaga, ma fesoʻotaʻiga HTTP i totonu.
5. Fa'amamāina o le eleele
E auina atu faʻamatalaga maaleale i le fausaga autū e pulea e le tagata osofaʻi aʻo faʻaauau pea ona galue masani talosaga muamua.
Fa'ailoga o Fetu'aiga (IoCs)
Mo le suʻesuʻeina o le ono aʻafia, e tatau i 'au ona amata i le iloiloina o faʻailoga ua iloa e fesoʻotaʻi ma le axios compromise. O le laulau o loʻo i lalo o loʻo aoteleina ai faʻailoga sili ona talafeagai i afifi, gaioiga fesoʻotaʻiga, ma mea totino a le 'au talimalo.
Auala e Fa'amatalaina ai nei IoCs
E ui e aogā nei fa'ailoga, ae e le tatau ona manatu i ai o se fuafuaga atoatoa lea e iloa ai.
I le faʻatinoina, o osofaʻiga faʻapenei e seasea faʻalagolago i se faʻailoga tumau e tasi. E suia vaega o le initaneti, e faʻaleleia uta, ma e vave ona le toe aoga hash. O le mea e tumau pea le tutusa o le amioga.
Mo se faʻataʻitaʻiga, o talosaga e leʻi faʻamoemoeina i fafo i le taimi o le faʻatinoina masani o le HTTP e mafai ona faʻaalia ai le aveeseina o faʻamaumauga. I se tulaga tutusa, o le faʻaaogaina o faʻamaoniga aloaia i tulaga e le masani ai e masani ona faʻailoa mai ai ua uma ona faʻaalia mea lilo.
I le tulaga talimalo, o le iai o ni tusitusiga le tumau poʻo ni binaries e ono fautua mai ai ni gaoioiga pe a uma ona faʻaaogaina, aemaise lava pe a tuʻufaʻatasia ma ni mea e le masani ai i le fesoʻotaʻiga.
I se isi faaupuga, e fesoasoani IoCs ia te oe e faʻamaonia se mea na tupu.
Ae ui i lea, o le malamalama i amioga e mafai ai ona e iloa vave.
| katekoli | Faailoilo | auiliiliga |
|---|---|---|
| afī | axios@1.14.1 | shasum: 2553649f2322049666871cea80a5d0d6adc700ca |
| afī | axios@0.30.4 | shasum: d6f3f62fd3b9f5432f5782b62d8cfd5247d5ee71 |
| Tausiga | plain-crypto-js@4.2.1 | shasum: 07d889e2dadce6f3910dcbc253317d28ca61c766 |
| Network | sfrclak[.]com | Vaega o le Pulea ma le Pulea |
| Network | 142.11.206[.]73 | IP o atina'e feso'ota'i |
| Network | http://sfrclak[.]com:8000/6202033 | O le tulaga e gata ai le fa'amamāina ua matauina |
| macOS | /Library/Caches/com.apple.act.mond | SHA256: 92ff08773995ebc8d55ec4b8e1a225d0d1e51efa4ef88b8849d0071230c9645a |
| pupuni | %PROGRAMDATA%\wt.exe | Mea totino tumau e mafai ona tumau |
| pupuni | %TEMP%\6202033.vbs | Mea fa'atino fa'avae i luga o le tusitusiga |
| pupuni | %TEMP%\6202033.ps1 | Uta o le PowerShell. SHA256: 617b67a8e1210e4fc87c92d1d1da45a2f311c08d26e89b12307cf583c900d101 |
| Linux | /tmp/ld.py | SHA256: fcb81618bb15edfdedfb638b4c08a2af9cac9ecfa551af135a8402bf980375cf |
Fa'amatalaga o le su'esu'ega: O nei IoC o se amataga aoga mo le sailia o ni taufaamataʻu. Peitaʻi, e mafai e tagata osofaʻi ona vave fesuiaʻi vaega, uta, ma mea faitino. Mo lena mafuaʻaga, e tatau i 'au ona faʻafesoʻotaʻi nei faʻailoga ma faʻailoga amio e pei o feoaʻiga HTTP e leʻi faʻamoemoeina, avanoa e le masani ai i process.env, ma fa'afouga fa'alagolago e le masani ai.
Faataitaiga: E faapefea ona mafai e se Faalagolago i le Axios npm ua Faaleagaina ona Aveese Faamatalaga
Ina ia malamalama i le auala e galue ai lenei osofaʻiga a le Axios npm i le faʻatinoga, mafaufau i se faʻataʻitaʻiga faigofie.
E mafai e le Axios ona fa'amatalaina e le au atia'e ni mea e taofia ai talosaga. E otometi lava ona fa'atinoina nei mea e taofia ai talosaga a'o le'i faia se talosaga HTTP ta'itasi.
E mafai e se fa'aliliuga leaga o le axios ona fa'aaogaina sese lenei auala:
Aiseā e Matautia ai le Osofa'iga a le Axios npm
I le vaaiga muamua, e foliga mai e leai se mea o faaletonu. Ua faatinoina ma le manuia le talosaga, ua galue lelei le talosaga e pei ona faamoemoeina, ma pipelinee faaauau pea ona pasia e aunoa ma ni mea sese.
Peita'i, o le fa'amatalaga taua e tupu a'o le'i lafoina le talosaga. I le taimi o lena fa'agasologa fa'atino, e mafai e le fa'alagolago ua fa'aleagaina ona maua ma aoina fa'amatalaga taua e pei o ulutala fa'atagaga, fa'ailoga API, metadata o talosaga, ma fesuia'iga o le siosiomaga.
Ona o lenei faiga e tamo'e i totonu o se faletusi fa'atuatuaina o lo'o tu sa'o i le ala o le talosaga HTTP, e fa'agaoioia lelei ma avanoa tutusa e pei o le polokalama lava ia. O le i'uga, e mafai ona maua fa'amatalaga e masani ona puipuia mai osofa'iga mai fafo.
O le mea e matuā matautia ai lenei mea e lē gata i le mauaina o faʻamatalaga, ae o le leai foʻi o se aafiaga vaaia. E leai se faʻalavelave i le faʻatinoga, leai ni talosaga ua lē manuia, ma leai se faʻailoga vave o loʻo i ai se mea o sese. Mai se vaaiga faʻatino, o loʻo faʻaauau pea ona galulue mea uma e pei ona faʻamoemoeina.
I le taimi nei, atonu ua uma ona tuua e faʻamatalaga taua le polokalama e ala i fesoʻotaʻiga i fafo e faʻafefiloi ma feoaʻiga masani a talosaga.
Aiseā ua avea ai lenei mea ma Faʻafitauli DevOps Muamua
Mo 'au a le DevOps, o lenei ituaiga osofa'iga e faigata tele ona iloa ona e faigofie ona tu'ufa'atasia i totonu o galuega o lo'o iai nei.
E otometi lava ona fa'apipi'i fa'alagolago, pipelinee fa'atino masani lava, ma e leai ni fa'aletonu e tupu vave.
I le taim lava lena, CI/CD e masani ona faʻaalia e siosiomaga ni faʻamaoniga taua tele, e aofia ai:
- Fa'ailoga o le au'aunaga ao
- Ki o le fa'atinoina
- CI/CD mea lilo o le fa'amaoniga
O se faʻalagolago ua faʻaleagaina o loʻo faʻatinoina i lenei tulaga e mafai ona maua saʻo na faʻamaoniga.
O lenei mea e mafua ai se tulaga e foliga mai ai e masani mea uma, a o loʻo maua pea faʻamatalaga taua i tua.
O le Lamatiaga Moni: Fa'aaliga Faalilolilo i le Tele
O le axios npm compromise o loʻo faʻamamafa mai ai se suiga taua i fuafuaga faʻaonaponei o osofaʻiga.
O le sini e le o le faʻaaogaina lea o vaivaiga, ae ia maua ni faʻamaoniga aloaia.
Ona o faʻavae faʻaonaponei e faʻalagolago i le faʻamaoniga faʻavae i le siosiomaga, o se faʻalagolago o loʻo tamoʻe i le taimi e faʻatino ai e mafai ona maua:
- API ki
- Fa'ailoga tautua
- Fa'amaoniga o le ao
E lē manaʻomia ona solia nei tusipasi.
E na'o le pau lava le mea e mana'omia ona fa'aaoga.
E mafai ai e tagata osofaʻi ona feoaʻi faʻalava, maua auaunaga, ma aveese faʻamatalaga e faʻaaoga ai le faʻamaoniga aloaia.
O lea la, e faalagolago le aafiaga i mea lilo o loʻo faʻaalia, ae le o le auala e faʻatino ai le osofaʻiga.
Aiseā e Le'i Maua ai e Meafaigaluega Saogalemu Masani Lenei Mea
E faigata i auala masani ona iloa nei osofaʻiga ona e taulaʻi atu i vaivaiga ua iloa pe o ni faʻailoga tumau. Peitaʻi, e pei ona faʻamamafaina i le Su'esu'ega a le OpenAI O le fa'aletonu o le meafaigaluega a le axios developer, o le lamatiaga moni e tula'i mai i le taimi e fa'agaoioia ai, lea e fegalegaleai ai fa'alagolago fa'atuatuaina ma fa'amatalaga taua.
Peita'i, o se fa'alagolago ua afaina atonu e leai ni fa'ailoga manino.
Atonu e iai:
- Leai se CVE
- Leai se saini leaga
- Leai se fa'atulagaga e le masani ai
I le taimi lava e tasi, e le iloiloina e le au'ili'iliga tumau amioga o le taimi e fa'agaoioia ai. E le mafai ona fuafua pe fa'apefea ona fegalegaleai se fa'alagolago ma fa'amatalaga taua pe a uma ona fa'atinoina.
O lenei mea e mafua ai se avanoa e foliga saogalemu ai le code i le taimi o le suʻesuʻega ae lamatia i le taimi o le faʻatinoina.
Auala e Iloa ai ma Puipuia ai Osofa'iga e pei o le Axios npm
O le puipuia o lenei ituaiga o osofaʻiga a le Axios npm e manaʻomia ai se suiga mai le siakiina tumau i le iloa o le taimi e faʻagaoioia ai.
E manaʻomia e 'au ona vaʻaia le amio a tagata e faʻalagolago i ai, ae le naʻo mea o loʻo i totonu.
E aofia ai:
- Mata'ituina o le avanoa i fa'amatalaga taua i le taimi e fa'agaoioi ai
- Iloa o mea lilo a'o le'i o'o atu i fale teuoloa
- Iloiloga pipelines ma mea totino mo fa'amaoniga ua fa'aalia
- Mata'ituina o gaioiga o le upega tafa'ilagi i fafo mo ni mea sese
Peitaʻi, e lē lava le na o le iloa.
Mai le Iloa i le Puipuiga: O le a le Mea Moni e Faʻaitiitia ai le Lamatiaga
A maeʻa se faʻalavelave faapenei, e masani ona feagai 'au ma le tele o tusipasi e ono faʻaalia.
O le luʻitau e lē o le mauaina o i latou, ae o le faailoaina po o fea e tāua.
O le fesili autū e faapea:
O a mealilo o loo aoga pea ma mafai ona fa'aaogaina?
A aunoa ma se faʻamaoniga, e faʻaalu e 'au le taimi i tusipasi e le faʻaaogaina ae o loʻo tumau pea tulaga lamatia moni.
O se tali lelei e manaʻomia ai:
- Iloa o mea lilo ua fa'aalia
- Fa'amaonia pe o lo'o latou fa'atagaina pea le avanoa
- Aveesea pe sui vave
E fa'aitiitia ai le taimi e fa'aalia ai ma fa'atapula'aina ai le fa'amalama a le tagata osofa'i.
Auala e Fesoasoani ai Xygeni e Faʻaitiitia le Lamatiaga o le Sapalai o Sapalai
Xygeni O loʻo foia lenei luʻitau e ala i le tuʻufaʻatasia o le iloa, faʻamaonia, ma le toe faʻaleleia i totonu o le tasi galuega faatino.
E faʻaauau pea ona faʻailoa mai mea lilo ua faʻaalia i totonu o polokalame faakomepiuta, pipelines, ma mea totino. I le taimi lava e tasi, e faʻamaonia ai pe o loʻo aoga pea na faʻamaoniga i le siosiomaga.
E mafai ai e 'au ona taula'i atu i mea e mafai ona fa'aogaina moni e le au osofa'i.
O le taimi lava e fa'ailoa ai mea lilo o lo'o galue, o le a fesoasoani le faiga fa'aleleia otometi e fa'aitiitia ai le taimi e fa'aalia ai e ala i le fa'aleaogaina po'o le fa'atonutonuina o le fa'ata'amilosaga.
O le iʻuga, e vave ai le tali atu, sili atu ona sauniunicise, ma e itiiti ifo le fa'alavelave.
iʻuga
O le axios npm compromise e atagia ai le auala o loʻo faʻagasolo ai osofaʻiga a le supply chain.
E le toe manaʻomia e tagata osofaʻi ona faʻaleagaina polokalama faakomepiuta. Latou te faʻalagolago i mea e faʻalagolago i ai e maua ai faʻamatalaga taua i le taimi o le faʻatinoina.
Mo 'au a le DevOps, o lona uiga o le malamalama i amioga o le taimi e fa'agaoioia ai. Mo ta'ita'i o le saogalemu, o lona uiga o le fa'aitiitia vave ma lelei o le fa'alavelave.
Auā i siosiomaga faʻaonaponei, o le lamatiaga tele e lē o mea e faʻatinoina.
O le mea lea e mafai ona maua pe a faʻagaoioia.
