Baru saja melihat sebuah insiden keamanan rantai pasokan yang cukup serius, perpustakaan klien HTTP JavaScript yang paling umum digunakan, axios, diserang.

Kejadiannya seperti ini, penyerang mencuri token akses npm dari pemelihara utama axios, lalu langsung merilis dua versi berbahaya yang berisi backdoor akses jarak jauh, yaitu axios@1.14.1 dan axios@0.3.4, yang dapat berjalan di macOS, Windows, dan Linux. Paket berbahaya ini bertahan di npm selama sekitar 3 jam sebelum ditemukan dan dihapus.

Yang paling menakutkan adalah cakupan pengaruhnya. axios diunduh lebih dari 100 juta kali per minggu, menurut data dari perusahaan keamanan Wiz, sekitar 80% lingkungan cloud dan kode mengandung axios. Perusahaan keamanan Huntress merespons dengan cepat, mendeteksi batch pertama infeksi dalam waktu kurang dari 2 menit setelah paket berbahaya online, dan mereka mengonfirmasi setidaknya 135 sistem telah disusupi.

Lebih patut diperhatikan lagi, proyek axios sebenarnya sudah menerapkan langkah-langkah keamanan modern, termasuk mekanisme penerbitan terpercaya OIDC dan bukti traceability SLSA, tetapi penyerang sepenuhnya melewati perlindungan tersebut. Penyidikan menemukan bahwa masalahnya terletak pada konfigurasi, di mana axios saat mengaktifkan OIDC masih menyimpan token npm tradisional yang berlaku lama, dan npm secara default akan menggunakan token lama saat keduanya ada bersamaan. Ini memberi peluang bagi penyerang.

Insiden ini mengingatkan kita bahwa memiliki alat keamanan saja tidak cukup, konfigurasi dan manajemen proses juga sangat penting. Banyak proyek open source mungkin menghadapi kerentanan serupa.