TL; DR
Iyo axios npm kubvumirana inoratidza kurwisa kwemazuva ano kwecheni yekugovera kushandisa zvinhu zvinovimbwa nazvo kuti uwane ruzivo rwakakosha panguva yekumhanya. Chiitiko ichi chakaongororwa nevaongorori vezvekuchengetedza vakawanda, kusanganisira kupatsanurwa kwakadzama kubva Chikamu42 kufukidza kweindasitiri kunoratidza maitiro ekutsanangura ane chekuita nebasa renyika nenyika.
Chiitiko ichi chinokanganisa:
- Matimu eDevOps ari kushanda CI/CD pipelines ine chokwadi chezvakatipoteredza
- Masevhisi ekudzokera shure anobata zvikumbiro zveAPI zvakatenderwa
- Mashandisirwo anoshandisa axios ekutaurirana kwemukati nekunze kweHTTP
Nekuti axios iri muchikamu chekukumbira, vhezheni yakakanganisika inogona kuwana:
- Misoro yemvumo uye API tokens
- Zvinhu zvakavanzwa uye zvinochinja-chinja nharaunda
- Kutaurirana kwebasa remukati
Mhedzisiro chaiyo haisi kuvimba nechinhu chacho pachacho, asi kuti chinogona kuwana chii kana changoitwa.
Zviito zvekukurumidza:
- Kiya shanduro dzekuvimba uye ongorora zvazvino
- Tenderedza makiyi eAPI, ma tokeni, uye CI/CD zvidzidzo
- Tarisa zvikumbiro zvekubuda uye zviitiko zvekusimbisa
- Audit pipelines yezvakavanzika zvakafumurwa
Chii Chakaitika muAxios npm Attack
Chiitiko ichi chinotevera maitiro ari kukura mukurwiswa kwecheni yekugovera, uko varwisi vanonanga zvinhu zvinoshandiswa zvakanyanya panzvimbo pekutadza kushanda zvakanaka kwekushandisa.
Nekukanganisa pasuru yakavimbika, varwisi vanowana kuurayiwa munzvimbo dzakawanda panguva imwe chete.
Nekuti axios ndeimwe yevatengi veHTTP vanonyanya kushandiswa muJavaScript ecosystem, yakabatanidzwa zvakanyanya mu:
- Masevhisi ekumashure
- Mapurogiramu epamberi
- CI/CD pipelines
Izvi zvinoita kuti ive chinangwa chakakosha.
Kana vhezheni yakaipa yangounzwa uye yaitwa, inotora mvumo dzakafanana nedzepurogiramu yakaipinza. Izvi zvinosanganisira mukana wekuwana network traffic, marekodhi, uye masevhisi emukati.
Kubvumirana uku kwakawanawo kutariswa kwakakura kunze kwenharaunda yekuchengetedzwa, nemishumo yakaita seAxios kugoverwa
zvichiratidza hukama hunogona kuitika nevanotyisidzira vane hunyanzvi uye mishandirapamwe yakarongeka.
Zvinoitwa neAxios Attack paRuntime
Chinokosha pakunzwisisa kurwiswa uku ndechekutarisa maitiro ekushanda kwenguva.
Axios inoshanda paHTTP layer, zvinoreva kuti inobata zvikumbiro zvinobuda. Izvi zvinoita kuti ionekwe zvakananga mudata rakavanzika rinoyerera kuburikidza neapplication.
Shanduro yakakanganiswa inogona:
- Bvumidza zvikumbiro zvinobuda usati watumirwa
- tora
Authorizationmisoro uye ma API tokens - Pinda munzvimbo dzakasiyana-siyana kuburikidza
process.env - Tarisa kutaurirana pakati pemabasa emukati
Semuenzaniso, chinhu chinobvisa mashoko (anti-interceptor) chinogona kubvisa ma authentication headers uye choatumira chinyararire kune imwe nzvimbo yekunze.
Panguva imwe chete, kuwana zvinhu zvakatipoterera kunobvumira varwisi kuwana zvitupa pasina kugadzirisa mafungiro ekushandisa.
Kubva kunze, zvese zvinoramba zvichienderera mberi nekushanda sezvaitarisirwa. Zvikumbiro zvinopedzwa zvinobudirira, masevhisi anopindura zvakajairika, uye pipelines hairatidzi zviratidzo zvekukundikana. Panguva imwe chete, ruzivo rwakakosha runogona kunge rwatove pachena kuburikidza nenzira dzekuita kumashure.
Kuyerera kweAxios Attack: Kubva paPakeji Yakakanganiswa Kuenda kuKufumurwa Kwakavanzika
1. Kubvumirana
Murwisi anowana simba pamusoro peakaundi yemuchengeti yakavimbika kana nzira yekuburitsa ma package mukati me axios ecosystem.
2. Kugovera
Shanduro dzakashata dzinoburitswa kuNPM uye dzinodhonzwa mumichina yekugadzira, CI/CD pipelines, uye application inovakwa kuburikidza nekuvandudzwa kwakajairika kwekuvimba.
3. Kuitwa Kwenguva Yekushanda
Mutoro wekubhadhara unoshanda kana axios yapinzwa uye yashandiswa, ichigara nhaka ropafadzo dzakafanana dzenguva yekumhanya sekushandiswa.
4. Kupinda Pachivande
Kuvimba kwacho kwakanganiswa kunowanikwa mumisoro, zviratidzo, zvinoshanduka-shanduka, uye kutaurirana kwemukati kweHTTP.
5. Kubuda mumhepo
Ruzivo rwakakosha runotumirwa chinyararire kunzvimbo dzinodzorwa nevanorwisa ukuwo zvikumbiro zvepakutanga zvichiri kushanda zvakajairika.
Zviratidzo zveCompromise (IoCs)
Kuti vaongorore mukana wekusangana nematambudziko aya, mapoka anofanira kutanga nekuongorora zviratidzo zvinozivikanwa zvine chekuita nekusawirirana kweaxios. Tafura iri pazasi inoratidza zviratidzo zvinonyanya kukosha mumapakeji, mabasa enetwork, uye zvinhu zvemugadziri.
Maitiro Ekududzira Aya MaIoC
Kunyange zvazvo zviratidzo izvi zvichibatsira, hazvifanirwe kutorwa senzira yakakwana yekuona chirwere.
Muchokwadi, kurwiswa kwakadai hakuwanzo shandiswa pachiratidzo chimwe chete chisingachinji. Madomeni anochinja, mitoro inoshanduka, uye mahashe anopera nekukurumidza. Chinoramba chichienderana maitiro acho.
Semuenzaniso, zvikumbiro zvisingatarisirwi zvekubuda panguva yekushandiswa kweHTTP kwakajairika zvinogona kuratidza kuburitswa kwedata. Saizvozvowo, kushandiswa kwemagwaro akavimbika mumamiriro ezvinhu asina kujairika kunowanzo ratidza kuti zvakavanzika zvatove pachena.
Padanho remugamuchiri, kuvapo kwema script echinguvana kana kuti ma binary kunogona kuratidza chiitiko chekushandiswa mushure mekushandiswa, kunyanya kana chikabatanidzwa ne network anomalies.
Nemamwe mashoko, maIoC anokubatsira kusimbisa chiitiko.
Zvisinei, kunzwisisa maitiro ndiko kunoita kuti ukwanise kuaona nekukurumidza.
| chikamu | Chiratidzo | Details |
|---|---|---|
| nhuri | axios@1.14.1 | shasum: 2553649f2322049666871cea80a5d0d6adc700ca |
| nhuri | axios@0.30.4 | shasum: d6f3f62fd3b9f5432f5782b62d8cfd5247d5ee71 |
| Kuvimbika | plain-crypto-js@4.2.1 | shasum: 07d889e2dadce6f3910dcbc253317d28ca61c766 |
| Network | sfrclak[.]com | Nzvimbo yekuraira nekudzora |
| Network | 142.11.206[.]73 | IP yezvivakwa zvakabatana |
| Network | http://sfrclak[.]com:8000/6202033 | Kuguma kwekubuda kwemvura kwakaonekwa |
| macOS | /Library/Caches/com.apple.act.mond | SHA256: 92ff08773995ebc8d55ec4b8e1a225d0d1e51efa4ef88b8849d0071230c9645a |
| Windows | %PROGRAMDATA%\wt.exe | Chinhu chinogona kuramba chichienderera mberi |
| Windows | %TEMP%\6202033.vbs | Chinhu chekushandisa chakavakirwa pascript |
| Windows | %TEMP%\6202033.ps1 | PowerShell payload. SHA256: 617b67a8e1210e4fc87c92d1d1da45a2f311c08d26e89b12307cf583c900d101 |
| Linux | /tmp/ld.py | SHA256: fcb81618bb15edfdedfb638b4c08a2af9cac9ecfa551af135a8402bf980375cf |
Chinyorwa chekuongorora: Aya maIoCs inzvimbo inobatsira yekutsvagisa njodzi. Zvisinei, vapambi vanogona kutenderedza madomain, payloads, uye zvinhu zvekare nekukurumidza. Nechikonzero ichocho, zvikwata zvinofanirwa kubatanidza zviratidzo izvi nezviratidzo zvemaitiro zvakaita se traffic isingatarisirwi yeHTTP, mukana usingawanzoitiki wekuwana process.env, uye zvichangobva kugadziriswa zvekuvimba nevanhu.
Muenzaniso: Maitiro eAxios npm Dependency Inobvisa Data Zvakakanganiswa
Kuti unzwisise kuti kurwiswa uku kweAxios npm kunoshanda sei mukuita, funga nezvemuenzaniso wakareruka.
Axios inobvumira vagadziri vemapurogiramu kutsanangura ma "request interceptors". Ma "interceptors" aya anozviita otomatiki pamberi pechikumbiro chega chega cheHTTP.
Shanduro yakaipa ye axios inogona kushandisa zvisirizvo nzira iyi:
Nei Axios npm Attack Iine Ngozi
Pakutanga, hapana chinoita sechakashata. Chikumbiro chacho chinoitwa zvinobudirira, chikumbiro chacho chinoita sezvaitarisirwa, uye pipelines dzinoramba dzichipfuura pasina zvikanganiso.
Zvisinei, ruzivo rwakakosha runoitika chikumbiro chisati chatumirwa. Munguva iyoyo yekuita, vanhu vakakanganiswa vanogona kuwana nekuunganidza ruzivo rwakakosha rwakadai sema headers ekubvumidza, ma API token, request metadata, uye nharaunda variables.
Nekuti pfungwa iyi inoshanda mukati meraibhurari yakavimbika iri munzira yekukumbira HTTP, inoshanda nemaropafadzo akafanana neapplication pachayo. Nekuda kweizvozvo, inogona kuwana data rinowanzo dzivirirwa kubva kune vanorwisa vekunze.
Chinoita kuti izvi zvive nengozi zvikuru hakusi kungowana data chete, asi kushaikwa kwemhedzisiro inooneka. Hapana kukanganiswa kwebasa, hapana zvikumbiro zvisina kubudirira, uye hapana chiratidzo chekuti pane chakaipa. Kubva pamaonero ekushanda, zvese zvinoramba zvichishanda sezvaitarisirwa.
Zvichakadaro, ruzivo rwakakosha runogona kunge rwatove kubuda musystem kuburikidza nekubatanidza kunobuda kunosanganisirwa netraffic yakajairika yeapplication.
Nei Iri Iri Dambudziko reDevOps Kutanga
Kune maDevOps zvikwata, rudzi urwu rwekurwiswa rwakaoma kuona nekuti rwunobatanidzwa zvakanaka muma workflows aripo.
Zvinhu zvinotsamira zvinoiswa otomatiki, pipelines inoita zvakajairika, uye hapana kukundikana kwacho pakarepo kunoitika.
Panguva imwe, CI/CD nharaunda dzinowanzo buritsa humbowo hwepamusoro, kusanganisira:
- Matokeni evanopa gore
- Makiyi ekuisa zvinhu
- CI/CD zvakavanzika zvekusimbisa chokwadi
Kuvimba kwakatapukirwa kuri kuitika mumamiriro ezvinhu aya kunogona kuwana zvitupa izvozvo zvakananga.
Izvi zvinogadzira mamiriro ezvinhu apo zvinhu zvese zvinoita sezvakajairika, ukuwo ruzivo rwakakosha rwuchiwanikwa kumashure.
Njodzi Yechokwadi: Kufumurwa Pachivande Pachikero
Chibvumirano che axios npm chinoratidza shanduko huru mumaitiro emazuva ano ekurwisa.
Chinangwa hachisi chekushandisa zvisizvo, asi kuwana zvitupa zvinoshanda.
Nekuti masisitimu emazuva ano anovimba nekusimbiswa kwezvakatipoteredza, kuvimba kunomhanya panguva yekumhanya kunogona kuwana:
- API kiyi
- Matokeni ebasa
- Zvitupa zvegore
Zvitupa izvi hazvifanirwe kutyorwa.
Zvinongoda kushandiswa chete.
Izvi zvinogonesa varwisi kufamba-famba, kuwana masevhisi, uye kubvisa data vachishandisa chokwadi chepamutemo.
Nekuda kweizvozvo, mhedzisiro yacho inoenderana nezvakavanzika zviri kuburitswa pachena, kwete kuti kurwiswa kwacho kunoitwa sei.
Sei Zvishandiso Zvekuchengetedza Zvechinyakare Zvisingakoshi Izvi?
Nzira dzechinyakare dzinonetsa kuona kurwiswa uku nekuti dzinonyanya kutarisa pane zvinozivikanwa kuti hazvina simba kana kuti zviratidzo zvisingachinji. Zvisinei, sezvakaratidzwa mu Ongororo yeOpenAI Panyaya yekusawirirana kwezvishandiso zve axios developer, njodzi chaiyo inobuda panguva yekumhanya, apo kuvimba kwakavimbika kunosangana nedata rakavanzika.
Zvisinei, kuvimba kwacho kwakakanganiswa kunogona kusava nezviratidzo zviri pachena.
Panogona kunge paine:
- Hapana CVE
- Hapana siginecha ine hutsinye
- Hapana marongerwo asina kujairika
Panguva imwe chete, static analysis haiongorore maitiro ekushanda. Haigone kuona kuti dependency inoshanda sei nedata rakavanzika kana yangoitwa.
Izvi zvinogadzira mukaha apo kodhi inoita seyakachengeteka panguva yekuongorora asi inova nengozi panguva yekuitwa.
Maitiro Ekuona Nekudzivirira Kurwiswa kweAxios npm-Like
Kudzivirira rudzi urwu rwekurwiswa kweAxios npm kunoda shanduko kubva pakuongorora kwakasimba kuenda pakuziva nguva yekumhanya.
Matimu anoda kuona kuti vanhu vanovimba nevamwe vanoita sei, kwete kuti chii chete chiripo.
Izvi zvinosanganisira:
- Kutarisa mukana wekuwana data rakakosha panguva yekumhanya
- Kuona zvakavanzika zvisati zvasvika kunzvimbo dzinochengeterwa zvinhu
- Scanning pipelines uye zvinhu zvekushandisa pakuzivisa pachena
- Kuona zviitiko zve network zvinobuda kuti uone kana zvisina kunaka
Zvisinei, kuzviwana chete hakuna kukwana.
Kubva Pakuonekwa Kwechirwere Kuenda Pakudzivirira: Chii Chinotoderedza Njodzi
Mushure mechiitiko chakadai, zvikwata zvinowanzo sangana nehuwandu hwakawanda hwezvitupa zvinogona kuburitswa pachena.
Dambudziko harisi rekuwana zvinhu izvi asi kuziva kuti ndezvipi zvinonyanya kukosha.
Mubvunzo mukuru unova:
Ndezvipi zvakavanzika zvichiri kushanda uye zvinogona kushandiswa?
Pasina kusimbiswa, zvikwata zvinopedza nguva zvichitsvaga zvitupa zvisingashande nepo njodzi chaiyo dzichiripo.
Mhinduro inoshanda inoda:
- Kuona zvakavanzika zvakafumurwa
- Kusimbisa kana vachiri kupa mvumo yekuwana
- Kudzibvisa kana kudzitenderedza nekukurumidza
Izvi zvinoderedza nguva yekusangana nechinhu uye zvinoderedza mukana wekuti munhu anorwisa aonekwe.
Maitiro eXygeni Kuderedza Njodzi yeKugovera
Xygeni inotarisana nedambudziko iri nekubatanidza kuona, kusimbisa, uye kugadzirisa kuita basa rimwe chete.
Inoramba ichizivisa zvakavanzika zvakafumurwa mukodhi, pipelines, uye zvinhu zvekare. Panguva imwe chete, zvinosimbisa kana zvitupa izvozvo zvichiri kushanda munharaunda.
Izvi zvinobvumira zvikwata kuti zvitarise pane izvo varwisi vanogona kushandisa chaizvo.
Kana zvakavanzika zvinoshanda zvaonekwa, mashandiro ekugadzirisa otomatiki anobatsira kuderedza nguva yekuratidzwa kuburikidza nekubvisa kana kudzora kutenderera.
Nekuda kweizvozvo, mhinduro inokurumidza, uye yakagadziriracise, uye kusanyanya kukanganisa.
mhedziso
Chibvumirano che axios npm chinoratidza kuti kurwiswa kwe "supply chain" kuri kuchinja sei.
Varwisi havachafaniri kutyora masisitimu. Vanovimba nevatengi vakavimbika kuti vawane ruzivo rwakakosha panguva yekuitwa.
Kune zvikwata zveDevOps, izvi zvinoreva kunzwisisa maitiro ekushanda. Kune vatungamiriri vekuchengetedza, zvinoreva kuderedza kuratidzwa nekukurumidza uye zvinobudirira.
Nekuti munzvimbo dzemazuva ano, njodzi huru haisi iyo inoitiswa.
Ndiyo inowanikwa kana yatanga kushanda.
