{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"Der er integreret en selvspredende orm i 42 NPM-pakker fra TanStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Som f\u00f8lge af en kompromittering af procesoprettelsen af udgivelser baseret p\u00e5 GitHub Actions i TanStack-projektet lykkedes det angriberen at offentligg\u00f8re 84 ondsindede versioner i NPM-repositoriet, der d\u00e6kker 42 NPM-pakker fra TanStack-stakken. Nogle af de kompromitterede pakker havde mere end 10 millioner downloads om ugen. <\/p>\n
Adgang til publiceringen af udgivelser blev opn\u00e5et p\u00e5 grund af en forkert konfiguration af pull_request_target «Pwn Request» i GitHub Actions (angivelsen af masken i indstillingerne f\u00f8rte til aktivering af pull_request_target for pull-anmodninger i eksterne forks), forgiftning af cachen i GitHub Actions via fork og muligheden for at udtr\u00e6kke OIDC-tokenet fra hukommelsen af den k\u00f8rende runner-proces (Runner.Worker) ved at l\u00e6se indholdet af \/proc\/\/mem. <\/p>\n
NPM-pakker med ondsindede \u00e6ndringer blev offentliggjort den 11. maj mellem 22:20 og 22:26 (MSK), opdaget efter 20 minutter og blokeret efter halvanden time. For hver af de ber\u00f8rte NPM-pakker blev der udgivet to ondsindede versioner, der integrerede koden til aktivering af ormen mini-shai-hulud, som s\u00f8gte efter tokens og legitimationsoplysninger i det nuv\u00e6rende milj\u00f8. Hvis et token til NPM-kataloget blev opdaget, offentliggjorde ormen automatisk nye ondsindede udgivelser for de pakker, der blev udviklet i det nuv\u00e6rende milj\u00f8, hvilket p\u00e5virkede afh\u00e6ngighedstr\u00e6et. P\u00e5 den m\u00e5de blev mere end 400 NPM-pakker, der brugte TanStack-pakker som afh\u00e6ngigheder, kompromitteret. <\/p>\n
Sormen blev placeret i filen router_init.js og aktiveredes ved manuel installation af den ramte pakke af udvikleren eller automatisk i et kontinuerligt integrationsmilj\u00f8 ved hj\u00e6lp af kommandoerne «npm install», «pnpm install» eller «yarn install». Efter aktivering s\u00f8gte sormen i systemet efter tokens til NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp og KubernetesK8s, samt SSH private n\u00f8gler. De fundne data blev sendt til angriberne via den decentraliserede P2P-beskedergetsession.org. <\/p>\n
Sormen havde indbygget evnen til at udf\u00f8re destruktive handlinger i tilf\u00e6lde af tilbagekaldelse af det opsnappede NPM-token \u2014 i systemet blev der indstillet en regelm\u00e6ssig k\u00f8rsel af scriptet ~\/.local\/bin\/gh-token-monitor.sh, som hvert 60. sekund kontrollerede aktiviteten af tokenet ved at anmode api.github.com\/user, og hvis tokenet blev tilbagekaldt, blev kommandoen «rm -rf ~\/» udf\u00f8rt. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"