កញ្ចប់ TanStack NPM ចំនួន ៤២ មានផ្ទុកមេរោគដង្កូវដែលរីករាលដាលដោយខ្លួនឯង

តាមរយៈការធ្វើឱ្យខូចដំណើរការចេញផ្សាយ GitHub Actions របស់គម្រោង TanStack អ្នកវាយប្រហារអាចបោះពុម្ពផ្សាយកំណែព្យាបាទចំនួន 84 នៃកញ្ចប់ NPM ចំនួន 42 ពី TanStack stack ទៅកាន់ឃ្លាំង NPM។ កញ្ចប់ដែលរងការសម្របសម្រួលមួយចំនួនត្រូវបានទាញយកច្រើនជាង 10 លានដងក្នុងមួយសប្តាហ៍។

ការចូលប្រើប្រាស់ទៅកាន់ការចេញផ្សាយត្រូវបានទទួលដោយសារតែការកំណត់ "សំណើ Pwn" របស់ pull_request_target មិនត្រឹមត្រូវនៅក្នុង GitHub Actions (ការបញ្ជាក់របាំងនៅក្នុងការកំណត់បាននាំឱ្យមានការបើកដំណើរការ pull_request_target សម្រាប់សំណើទាញទៅកាន់ forks ភាគីទីបី) ការបំពុលឃ្លាំងសម្ងាត់ GitHub Actions តាមរយៈ fork និងសមត្ថភាពក្នុងការទាញយកសញ្ញាសម្ងាត់ OIDC ពីអង្គចងចាំនៃដំណើរការ runner ដែលកំពុងដំណើរការ (Runner.Worker) ដោយការអានខ្លឹមសារនៃ /proc/។ /អង្គចងចាំ

កញ្ចប់ NPM ដែលមានការកែប្រែព្យាបាទត្រូវបានបោះពុម្ពផ្សាយនៅថ្ងៃទី១១ ខែឧសភា ចន្លោះម៉ោង ១០:២០ យប់ និង ១០:២៦ យប់ (MSK) ដែលត្រូវបានរកឃើញ ២០ នាទីក្រោយមក ហើយត្រូវបានរារាំងមួយម៉ោងកន្លះក្រោយមក។ កំណែព្យាបាទពីរនៃកញ្ចប់ NPM ដែលរងផលប៉ះពាល់នីមួយៗត្រូវបានចេញផ្សាយ ដែលនីមួយៗមានលេខកូដដើម្បីធ្វើឱ្យដង្កូវ mini-shai-hulud សកម្ម ដែលស្វែងរកថូខឹន និងព័ត៌មានសម្ងាត់នៅក្នុងបរិយាកាសបច្ចុប្បន្ន។ ប្រសិនបើថូខឹនភ្ជាប់ទៅកាន់ថត NPM ត្រូវបានរកឃើញ ដង្កូវនោះបានចេញផ្សាយការចេញផ្សាយព្យាបាទថ្មីដោយស្វ័យប្រវត្តិសម្រាប់កញ្ចប់ដែលកំពុងត្រូវបានបង្កើតឡើងនៅក្នុងបរិយាកាសបច្ចុប្បន្ន ដែលប៉ះពាល់ដល់ដើមឈើអាស្រ័យ។ កញ្ចប់ NPM ជាង ៤០០ ដែលប្រើកញ្ចប់ TanStack ជាភាពអាស្រ័យត្រូវបានរងផលប៉ះពាល់តាមរបៀបនេះ។

មេរោគ​នេះ​ត្រូវ​បាន​ដំឡើង​នៅ​ក្នុង​ឯកសារ router_init.js ហើយ​បាន​ធ្វើ​ឱ្យ​សកម្ម​នៅ​ពេល​ដែល​កញ្ចប់​ដែល​រង​ផល​ប៉ះពាល់​ត្រូវ​បាន​ដំឡើង​ដោយ​ដៃ​ដោយ​អ្នក​អភិវឌ្ឍន៍ ឬ​ដោយ​ស្វ័យប្រវត្តិ​នៅ​ក្នុង​បរិយាកាស​សមាហរណកម្ម​ជា​បន្តបន្ទាប់​ដោយ​ប្រើ​ពាក្យ​បញ្ជា "npm install," "pnpm install," ឬ "yarn install"។ នៅ​ពេល​ដែល​បាន​ធ្វើ​ឱ្យ​សកម្ម មេរោគ​នេះ​បាន​ស្វែងរក​ប្រព័ន្ធ​សម្រាប់​ថូខឹន​សម្រាប់ NPM (~/.npmrc), AWS, GCP, Azure, HashiCorp និង KubernetesK8s ក៏ដូចជា​កូនសោ​ឯកជន SSH។ ទិន្នន័យ​ដែល​វា​រក​ឃើញ​ត្រូវ​បាន​ផ្ញើ​ទៅ​អ្នក​វាយប្រហារ​តាមរយៈ​កម្មវិធី​ផ្ញើ​សារ P2P ដែល​មាន​វិមជ្ឈការ getsession.org។

ដង្កូវនេះត្រូវបានរចនាឡើងដើម្បីអនុវត្តសកម្មភាពបំផ្លិចបំផ្លាញក្នុងករណីដែលថូខឹន NPM ត្រូវបានដកហូត។ ប្រព័ន្ធនេះត្រូវបានកំណត់រចនាសម្ព័ន្ធឱ្យដំណើរការស្គ្រីប ~/.local/bin/gh-token-monitor.sh ជាទៀងទាត់ ដែលបានពិនិត្យមើលសកម្មភាពរបស់ថូខឹនរៀងរាល់ 60 វិនាទីម្តងដោយចូលទៅកាន់ api.github.com/user ហើយក្នុងករណីដែលថូខឹនត្រូវបានដកហូត វាប្រតិបត្តិពាក្យបញ្ជា "rm -rf ~/"។

ប្រភព: opennet.ru