{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"In 42 NPM-pakketten is TanStack opgenomen met een zelfverspreidende worm.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Als gevolg van de compromittering van het release-proces op basis van GitHub Actions in het TanStack-project, is het de aanvaller gelukt om 84 kwaadaardige versies te publiceren in de NPM-repository, die 42 NPM-pakketten uit de TanStack-stack omvatten. Sommige van de gecompromitteerde pakketten hadden meer dan 10 miljoen downloads per week. <\/p>\n
Toegang tot het publiceren van releases was verkregen door een verkeerde configuratie van pull_request_target \u2018Pwn Request\u2019 in GitHub Actions (het opgeven van een masker in de instellingen leidde tot de uitvoering van pull_request_target voor pull-requests naar externe forks), het vervuilen van de cache van GitHub Actions via een fork en de mogelijkheid om het OIDC-token uit het geheugen van het actieve runner-proces (Runner.Worker) te extraheren door de inhoud van \/proc\/\/mem te lezen. <\/p>\n
De NPM-pakketten met kwaadaardige wijzigingen werden gepubliceerd op 11 mei van 22:20 tot 22:26 (MSK), na 20 minuten opgemerkt en na anderhalf uur geblokkeerd. Voor elk van de getroffen NPM-pakketten werden er twee kwaadaardige versies vrijgegeven, waarin code was ge\u00efntegreerd om de worm mini-shai-hulud te activeren, die zocht naar tokens en inloggegevens in de huidige omgeving. Bij het ontdekken van een connectietoken met de NPM-directory publiceerde de worm automatisch nieuwe kwaadaardige releases voor de in de huidige omgeving ontwikkelde pakketten, wat de afhankelijkheidsstructuur influisterde. Op deze manier werden meer dan 400 NPM-pakketten getroffen die TanStack-pakketten als afhankelijkheden gebruikten. <\/p>\n
De worm was geplaatst in het bestand router_init.js en werd geactiveerd wanneer de aangedane module handmatig door de ontwikkelaar of automatisch in de continue integratie-omgeving werd ge\u00efnstalleerd met behulp van de commando's \u2018npm install\u2019, \u2018pnpm install\u2019 of \u2018yarn install\u2019. Na activatie doorzocht de worm het systeem naar tokens voor NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp en KubernetesK8s, evenals gesloten SSH-sleutels. Gevonden gegevens werden verzonden naar de aanvallers via de gedecentraliseerde P2P-messenger getsession.org. <\/p>\n
In de worm was voorzien in destructieve acties in het geval van het intrekken van het onderschepte NPM-token \u2014 in het systeem werd ingesteld om het script ~\/.local\/bin\/gh-token-monitor.sh periodic te starten, dat elke 60 seconden de activiteit van het token controleerde via een verzoek aan api.github.com\/user, en in geval van intrekking van het token de opdracht \u2018rm -rf ~\/\u2019 uitvoerde. \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"