Mastra AI Çərçivəsinin 144 npm Paketi Təchizat Zənciri Hücumuna Məruz Qalıb
13rose
2 min read
Mastra AI Çərçivəsinin 144 npm Paketi Təchizat Zənciri Hücumuna Məruz Qalıb
Açıq mənbəli JavaScript və TypeScript əsaslı süni intellekt (AI) tətbiqləri qurmaq üçün istifadə edilən populyar “Mastra” (@mastra/*) adlar fəzasına aid 144-ə qədər npm paketi, “easy-day-js” kod adlı proqram təminatı təchizat zənciri hücumu nəticəsində kompromisə uğradılıb. Bu təhlükəsizlik boşluğu JFrog, SafeDep, Socket və StepSecurity şirkətlərinin birgə araşdırmaları nəticəsində aşkar edilib.
Təhlükəsizlik tədqiqatçıları qeyd edirlər ki, hücum, bir tərtibatçı hesabının (ehindero) ələ keçirilməsi yolu ilə həyata keçirilib. Hücumçular ələ keçirdikləri bu hesabı istifadə edərək çox sayda zərərli paketi kütləvi şəkildə yayımlayıblar. Bu cür təchizat zənciri hücumları, tək bir kompromisə uğramış komponent vasitəsilə minlərlə layihəyə və istifadəçiyə zərər verə biləcəyi üçün xüsusilə təhlükəlidir.
Bu insident, açıq mənbəli ekosistemlərdə təhlükəsizlik praktikalarının və hesabların qorunmasının vacibliyini bir daha vurğulayır. “Mastra” çərçivəsini istifadə edən tərtibatçılara, paketlərini yoxlamaq və yeniləmək üçün müvafiq tədbirlər görmək tövsiyə olunur.
