Populyar Axios Kitabxanası Təchizat Zənciri Hücumunun Hədəfinə Çevrilib: Cross-Platform RAT Təhlükəsi Yaranıb

Populyar Axios Kitabxanası Təchizat Zənciri Hücumunun Hədəfinə Çevrilib

Geniş istifadə olunan HTTP client kitabxanası olan Axios, təchizat zənciri hücumunun qurbanı olub. Bu hücum, npm paketinin iki yeni versiyasının – 1.14.1 və 0.30.4 – zərərli bir dependency daxil etməsi ilə baş verib.

Aşkarlanıb ki, bu versiyalar “plain-crypto-js” adlı, versiya 4.2.1 olan saxta bir dependency injeksiya edib. Bu zərərli komponentin cross-platform RAT (Remote Access Trojan) yaymaq üçün istifadə olunduğu bildirilir ki, bu da yoluxmuş sistemlərə uzaqdan nəzarəti təmin edə bilər.

StepSecurity təhlükəsizlik firmasının məlumatına görə, sözügedən iki versiya Axios-un əsas maintainer-inin npm hesabat məlumatlarının kompromisə uğraması nəticəsində yayımlanıb. Bu, xakerlərin layihənin rəsmi depozitarına daxil olaraq zərərli kodu daxil etməsinə imkan verib.

Təchizat Zənciri Hücumlarının Ciddiliyi və Qorunma Yolları

Təchizat zənciri hücumları, proqram təminatı ekosistemində ciddi təhlükə yaradır, çünki bir komponentə edilən hücum, ondan asılı olan minlərlə və ya milyonlarla digər layihəyə yayıla bilər. Axios kimi populyar bir kitabxananın hədəfə alınması, açıq mənbəli layihələrdə belə hücumların nə qədər geniş yayıla biləcəyini bir daha nümayiş etdirir.

İstifadəçilərə və developerlərə tövsiyə olunur ki, dərhal Axios-un təhlükəsiz versiyalarına yeniləmə etsinlər və layihələrində istifadə etdikləri dependency-ləri müntəzəm olaraq yoxlasınlar. npm hesabları üçün güclü şifrələr və iki-faktorlu autentifikasiya (2FA) istifadəsi də bu tip hücumların qarşısını almaq üçün vacibdir.