{"id":170684,"date":"2026-05-15T00:24:32","date_gmt":"2026-05-14T22:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv"},"modified":"2026-05-15T00:24:32","modified_gmt":"2026-05-14T22:24:32","slug":"v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/news\/v-42-npm-paketa-tanstack-integrirovan-samorasprostranyayushhijsya-cherv","title":{"rendered":"Wormul auto-replicant este integrat \u00een 42 de pachete NPM TanStack","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00cen urma compromiterii procesului de formare a versiunilor pe baza GitHub Actions, atacatorii au reu\u0219it s\u0103 publice \u00een repository-ul NPM 84 de versiuni d\u0103un\u0103toare, acoperind 42 de pachete NPM din stiva TanStack. Unele dintre pachetele compromise aveau peste 10 milioane de desc\u0103rc\u0103ri pe s\u0103pt\u0103m\u00e2n\u0103. <\/p>\n
Accesul la publicarea versiunilor a fost ob\u021binut din cauza unei configur\u0103ri gre\u0219ite a pull_request_target \u201ePwn Request\u201d \u00een GitHub Actions (specificarea unei masc\u0103 \u00een set\u0103rile a dus la activarea pull_request_target pentru pull request-uri \u00een fork-uri externe), contaminarea cache-ului GitHub Actions prin fork \u0219i posibilitatea extragerii token-ului OIDC din memorie procesului runner (Runner.Worker) prin citirea con\u021binutului \/proc\/\/mem. <\/p>\n
Pachetele NPM cu modific\u0103ri d\u0103un\u0103toare au fost publicate pe 11 mai \u00eentre 22:20 \u0219i 22:26 (MSK), observate dup\u0103 20 de minute \u0219i blocate dup\u0103 o or\u0103 \u0219i jum\u0103tate. Fiecare dintre pachetele NPM afectate a primit c\u00e2te dou\u0103 versiuni d\u0103un\u0103toare, \u00een care a fost integrat un cod pentru activarea worm-ului mini-shai-hulud, care c\u0103uta token-uri \u0219i acreditive \u00een mediul curent. Dac\u0103 descoperit un token de conectare la directory-ul NPM, worm-ul publica automat noi versiuni d\u0103un\u0103toare pentru pachetele dezvoltate \u00een mediul curent, afect\u00e2nd arborii de dependen\u021be. \u00cen acest mod, au fost compromise peste 400 de pachete NPM care utilizau pachete TanStack ca dependen\u021be. <\/p>\n
Viermele era plasat \u00een fi\u0219ierul router_init.js \u0219i se activa atunci c\u00e2nd pachetul afectat era instalat manual de c\u0103tre dezvoltator sau automatizat \u00een medii de integrare continu\u0103 folosind comenzile \u201enpm install\u201d, \u201epnpm install\u201d sau \u201eyarn install\u201d. Dup\u0103 activare, viermele c\u0103uta \u00een sistem token-uri pentru NPM (~\/.npmrc), AWS, GCP, Azure, HashiCorp \u0219i KubernetesK8s, precum \u0219i chei private SSH. Datele g\u0103site erau trimise atacatorilor prin intermediul unei aplica\u021bii de mesagerie P2P descentralizate, getsession.org. <\/p>\n
Viermele era dotat cu capacitatea de a efectua ac\u021biuni distructive \u00een cazul revoc\u0103rii token-ului NPM interceptat \u2014 \u00een sistem era configurat un script care rula periodic ~\/.local\/bin\/gh-token-monitor.sh, care verifica la fiecare 60 de secunde activitatea token-ului prin apelarea api.github.com\/user \u0219i, \u00een cazul revoc\u0103rii token-ului, executa comanda \u201erm -rf ~\/\u201d. \n Sursa: opennet.ro<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"