{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"42 NPM-paketti TanStack on integreeritud isekeerduvussupid.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
GitHub Actionsi p\u00f5hineva versioonide loomise protsessi kokkuleppimise t\u00f5ttu suutis h\u00e4kker j\u00f5uda TanStacki projektis NPM-repositorisse ning avaldada seal 84 pahatahtlikku versiooni, mis katab 42 TanStacki NPM-paketti. M\u00f5ned rikutud paketid olid rohkem kui 10 miljoni allalaadimisega n\u00e4dalas. <\/p>\n
K\u00fcsimus, mis puudutab versioonide avaldamise juurdep\u00e4\u00e4su, tulenes vale 'pull_request_target' seadistusest GitHub Actions'is (mastaabi m\u00e4\u00e4ramine seadistustes viis 'pull_request_target' k\u00e4ivitamiseni kolmandate osaplatformide pull-p\u00e4ringute puhul), GitHub Actions'i vahem\u00e4lu saastamisest fork'i kaudu ja OIDC-tokeni v\u00e4ljav\u00f5tmise v\u00f5imalusest k\u00e4ivitatud jooksja protsessi (Runner.Worker) m\u00e4lust, lugedes sisu \/proc\/\/mem. <\/p>\n
Rikutud NPM-paketid, milles on pahatahtlikud muudatused, avaldati 11. mail ajavahemikus 22:20 kuni 22:26 (MSK), tuvastati 20 minuti p\u00e4rast ja blokeeriti poolteise tunni p\u00e4rast. Iga nakatunud NPM-paketi jaoks avaldati kaks pahatahtlikku versiooni, mis sisaldasid koodi mini-shai-hulud ussi aktiveerimiseks, mis otsis praeguses keskkonnas tokenite ja kasutajatunnuste eest. Kui NPM katalooge \u00fchendav token avastati, avaldas uss automaatselt uusi pahatahtlikke versioone praeguses keskkonnas arendatavate paketide jaoks, nakatades s\u00f5ltuvuspuu. Selle meetodi abil nakatati \u00fcle 400 NPM-paketi, mis kasutasid s\u00f5ltuvustena TanStacki pakette. <\/p>\n
Viirus oli paigutatud faili router_init.js ja aktiveerus, kui nakatunud pakett paigaldati k\u00e4sitsi arendaja poolt v\u00f5i automatiseeritult pideva integreerimise keskkonnas, kasutades k\u00e4sklusi 'npm install', 'pnpm install' v\u00f5i 'yarn install'. P\u00e4rast aktiveerimist otsis viirus s\u00fcsteemis NPM tokeneid (~\/.npmrc), AWS, GCP, Azure, HashiCorp ja Kubernetes K8s, samuti SSH privaatv\u00f5tmeid. Leitud andmed saadeti r\u00fcndajatele kaudu detsentraliseeritud P2P-s\u00f5numirakenduse getsession.org. <\/p>\n
Usaldustuli oleks juurdep\u00e4\u00e4sude eemaldamiseks ette n\u00e4htud h\u00e4vitavate toimingute sooritamise v\u00f5imalus inimeset\u00f5ve puhul; s\u00fcsteemi seadistati skripti ~\/.local\/bin\/gh-token-monitor.sh perioodiline k\u00e4ivitamine, mis kontrollis iga 60 sekundi j\u00e4rel tokeni aktiivsust, helistades api.github.com\/user, ja juhul, kui token eemaldati, t\u00e4itis k\u00e4su «rm -rf ~\/». \n Allikas: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"