Acabei de ver um incidente bastante sério de segurança na cadeia de suprimentos. A biblioteca cliente HTTP mais popular em JavaScript, o axios, foi atacada.

Resumidamente, o atacante roubou o token de acesso do principal mantenedor do axios no npm e lançou duas versões maliciosas com backdoors de acesso remoto (versões 1.14.1 e 0.3.4), direcionadas a macOS, Windows e Linux. Essas versões maliciosas ficaram disponíveis no registro npm por cerca de 3 horas antes de serem removidas.

Ainda mais assustador é o alcance do impacto. Segundo a empresa de segurança Wiz, o axios é baixado mais de 100 milhões de vezes por semana, estando presente em aproximadamente 80% dos ambientes de nuvem e código. Isso significa que o número de sistemas potencialmente afetados pode ser bastante grande. A Huntress, outra empresa de segurança, detectou as primeiras infecções apenas 89 segundos após as versões maliciosas serem lançadas, e durante o período de exposição, confirmou que pelo menos 135 sistemas haviam sido comprometidos.

O mais interessante é que o projeto axios já tinha implementado mecanismos modernos de segurança, como o mecanismo de publicação confiável OIDC e a prova de rastreabilidade SLSA. Mas o atacante conseguiu contornar completamente essas proteções. A investigação revelou que o problema estava na configuração — enquanto o projeto ativava o OIDC, ainda mantinha o token tradicional de longo prazo, o NPM_TOKEN, que por padrão é priorizado pelo npm quando ambos coexistem. Como resultado, o atacante não precisou quebrar o OIDC; bastou usar o token antigo para publicar com sucesso.

O que essa história nos ensina? Por mais avançados que sejam os mecanismos de segurança, uma configuração incorreta pode torná-los inúteis. O exemplo do axios nos alerta de que a segurança na cadeia de suprimentos não é apenas uma questão técnica, mas também de atenção aos detalhes na implementação. Se seu projeto ou aplicação depende de bibliotecas open source amplamente utilizadas, talvez seja hora de verificar suas versões de dependências.