Щойно я побачив досить серйозну інцидент безпеки у ланцюгу постачання, коли найпопулярніша бібліотека HTTP-клієнта JavaScript — axios — зазнала атаки.

Ситуація така: зловмисники викрали токен доступу npm головного підтримувача axios і безпосередньо опублікували два шкідливі релізи з віддаленими троянами, а саме axios@1.14.1 і axios@0.3.4, які працювали на macOS, Windows і Linux. Ці шкідливі пакети існували на npm близько 3 годин, поки їх не виявили та не видалили.

Найстрашніше — це масштаб впливу. axios має понад 100 мільйонів завантажень щотижня, за даними компанії з безпеки Wiz, приблизно 80% хмарних та кодових середовищ використовують axios. Компанія Huntress швидко відреагувала: менш ніж за 2 хвилини після появи шкідливого пакета вони виявили перших інфікованих, і підтвердили, що щонайменше 135 систем були зламані.

Ще більш тривожним є те, що проект axios вже впровадив сучасні заходи безпеки, включаючи механізм довірених публікацій OIDC і доведення походження SLSA, але зловмисники цілком їх обійшли. Розслідування показало, що проблема криється у налаштуваннях: під час увімкнення OIDC axios зберігав традиційний довгостроковий токен NPM_TOKEN, а npm при одночасному існуванні обох пріоритетно використовував саме його. Це дало зловмисникам можливість скористатися цим.

Ця подія нагадує нам, що лише інструментів безпеки недостатньо — важливі також налаштування та управління процесами. Багато відкритих проектів можуть стикатися з подібними ризиками.