{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"A t\u00e1mad\u00f3k rosszindulat\u00fa programot \u00e9p\u00edtettek be 32 Red Hat NPM-csomagba.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A GitHub Actions alap\u00fa kiad\u00e1si folyamat kompromitt\u00e1l\u00e1sa k\u00f6vetkezt\u00e9ben a Red Hat tulajdon\u00e1ban l\u00e9v\u0151 RedHatInsights t\u00e1rol\u00f3kban a t\u00e1mad\u00f3k 64 rosszindulat\u00fa verzi\u00f3t tudtak k\u00f6zz\u00e9tenni az NPM k\u00f6nyvt\u00e1rban, amelyek 32 NPM csomagot \u00e9rintettek a Red Hat Cloud Services platformon. Minden egyes \u00e9rintett NPM csomaghoz k\u00e9t rosszindulat\u00fa verzi\u00f3t adtak ki, amelyek integr\u00e1lt\u00e1k a mini-shai-hulud f\u00e9reg \u00faj vari\u00e1ns\u00e1nak aktiv\u00e1l\u00e1s\u00e1ra szolg\u00e1l\u00f3 k\u00f3dot, amely a tokenek \u00e9s a hiteles\u00edt\u0151 adatok keres\u00e9s\u00e9re specializ\u00e1l\u00f3dott a jelenlegi k\u00f6rnyezetben. <\/p>\n
A f\u00e9reg az index.js f\u00e1jlban volt elhelyezve, \u00e9s a fert\u0151z\u00f6tt csomag telep\u00edt\u00e9sekor aktiv\u00e1l\u00f3dott a preinstall handleren kereszt\u00fcl. Aktiv\u00e1l\u00f3d\u00e1s ut\u00e1n a f\u00e9reg a rendszerben kereste az NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp \u00e9s KubernetesK8s tokenjeit, valamint a priv\u00e1t SSH kulcsokat. A megtal\u00e1lt adatokat a t\u00e1mad\u00f3khoz k\u00fcldt\u00e9k. Amennyiben NPM k\u00f6nyvt\u00e1rhoz val\u00f3 kapcsol\u00f3d\u00e1si tokent \u00e9szleltek, a f\u00e9reg automatikusan k\u00f6zz\u00e9tett \u00faj rosszindulat\u00fa kiad\u00e1sok a jelenlegi k\u00f6rnyezetben fejlesztett csomagokhoz, k\u00e1ros\u00edtva a f\u00fcgg\u0151s\u00e9gek f\u00e1j\u00e1t. <\/p>\n
A GitHub Actions hozz\u00e1f\u00e9r\u00e9s\u00e9t egy Red Hat egyik alkalmazottj\u00e1nak fi\u00f3kj\u00e1nak kompromitt\u00e1l\u00e1sa tette lehet\u0151v\u00e9, amely lehet\u0151v\u00e9 tette a t\u00e1mad\u00f3k sz\u00e1m\u00e1ra, hogy k\u00f6zvetlen\u00fcl elk\u00f6vessenek commitokat a javascript-clients, frontend-components \u00e9s platform-frontend-ai-toolkit rep\u00f3kba, an\u00e9lk\u00fcl, hogy \u00e1tesn\u00e9nek a fel\u00fclvizsg\u00e1lati f\u00e1zison. A folyamatos integr\u00e1ci\u00f3s rendszerbe a commitok sor\u00e1n a ci.yaml f\u00e1jl ker\u00fclt bet\u00f6lt\u00e9sre, amely a bun platform seg\u00edts\u00e9g\u00e9vel futtatta az _index.js szkriptet. A szkript az 'id-token: write' jogosults\u00e1got haszn\u00e1lta az OIDC (OpenID Connect) token beszerz\u00e9s\u00e9re a GitHub-t\u00f3l, amelyet azt\u00e1n az NPM autentik\u00e1l\u00e1s\u00e1ra haszn\u00e1ltak a 'trusted publishing' mechanizmussal.<\/p>\n
A rosszindulat\u00fa k\u00f3dot tartalmaz\u00f3 NPM csomagok:<\/p>\n