Secuelas del ataque a la cadena de suministro de Axios: a partir de mañana, todas las versiones antiguas de la aplicación de Mac de OpenAI dejarán de funcionar

Según la monitorización de Beating, el certificado de firma de OpenAI para macOS será revocado oficialmente mañana (8 de mayo). En ese momento, las versiones antiguas de ChatGPT Desktop, Codex, Codex CLI y Atlas que no hayan sido actualizadas no podrán iniciarse y dejarán de recibir actualizaciones. Es recomendable actualizar ahora la versión para Mac, ya sea mediante la actualización en la aplicación o descargando desde el sitio web de OpenAI.

La causa se remonta a un ataque en la cadena de suministro de npm ocurrido el 31 de marzo. Axios, una biblioteca HTTP de JavaScript con más de 70 millones de descargas semanales, fue utilizada por los atacantes para publicar dos versiones maliciosas (1.14.1 y 0.30.4) con las cuentas de mantenimiento robadas. Las versiones maliciosas insertaron una dependencia falsa llamada plain-crypto-js, que al instalarse descargaba automáticamente un troyano de acceso remoto (RAT), afectando las plataformas macOS, Windows y Linux. Microsoft atribuyó este ataque a un grupo de hackers norcoreano llamado Sapphire Sleet.

El flujo de trabajo de GitHub Actions de OpenAI, que construye las aplicaciones para macOS, descargó automáticamente las versiones maliciosas, y dicho flujo tiene acceso a los certificados de firma de las aplicaciones. OpenAI analiza que probablemente los certificados no fueron robados con éxito, pero en respuesta a la filtración, han rotado los certificados y colaborado con Apple para bloquear los canales de notarización de los certificados antiguos. Hasta ahora, no se han encontrado evidencias de filtración de datos de usuarios, intrusiones en sistemas o alteraciones en el software, y las contraseñas y claves API no se ven afectadas.

La causa raíz fue un problema en la configuración del flujo de trabajo: al referenciar dependencias, se usó una etiqueta de versión flotante en lugar de un hash de commit fijo, y no se estableció un mínimo de antigüedad de lanzamiento (minimumReleaseAge), lo que permitió que las versiones maliciosas se incorporaran automáticamente en la construcción en cuanto se publicaron.

Ver original
Esta página puede contener contenido de terceros, que se proporciona únicamente con fines informativos (sin garantías ni declaraciones) y no debe considerarse como un respaldo por parte de Gate a las opiniones expresadas ni como asesoramiento financiero o profesional. Consulte el Descargo de responsabilidad para obtener más detalles.
  • Recompensa
  • Comentar
  • Republicar
  • Compartir
Comentar
Añadir un comentario
Añadir un comentario
Sin comentarios
  • Anclado