Angripare har infogat skadlig kod i 32 NPM-paket från Red Hat

Som ett resultat av kompromissen av processen för att skapa releaser baserat på GitHub Actions i Red Hats RedHatInsights-repositorier, lyckades angripare publicera 64 skadliga versioner i NPM-katalogen, som omfattar 32 NPM-paket för Red Hat Cloud Services. För varje drabbat NPM-paket släpptes två skadliga versioner, där en kod för att aktivera ett nytt variant av masken mini-shai-hulud integrerades med syfte att söka efter token och autentiseringsuppgifter i den aktuella miljön.

Masken placerades i filen index.js och aktiverades genom en preinstall-behandler som kallades vid installation av det drabbade paketet. Efter aktiveringen sökte masken i systemet efter token till NPM (~/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp och KubernetesK8s, samt privata SSH-nycklar. Hittad information skickades till angriparna. Om en token för åtkomst till NPM-katalogen upptäcktes publicerade masken automatiskt nya skadliga releaser för de paket som utvecklades i den aktuella miljön, vilket påverkade beroendeträdet.

Åtkomsten till GitHub Actions erhölls genom att en av Red Hats anställdas konto blev komprometterat, vilket möjliggjorde för angriparna att direkt skicka commits till repositorierna javascript-clients, frontend-components och platform-frontend-ai-toolkit utan att gå igenom en granskningsprocess. Genom commits till det kontinuerliga integrationssystemet ansattes en fil ci.yaml, som vid körning av byggjobbet initierade en skript _index.js med hjälp av plattformen bun. Skriptet använde behörigheten 'id-token: write' för att begära en OIDC (OpenID Connect)-token från GitHub, som sedan användes för att autentisera mot NPM med hjälp av mekanismen 'trusted publishing'.

NPM-paket som innehåller skadlig kod:

• @redhat-cloud-services/chrome (2.3.1, 2.3.2)
• @redhat-cloud-services/compliance-client (4.0.3, 4.0.4)
• @redhat-cloud-services/config-manager-client (5.0.4, 5.0.5)
• @redhat-cloud-services/entitlements-client (4.0.11, 4.0.12)
• @redhat-cloud-services/eslint-config-redhat-cloud-services (3.2.1, 3.2.2)
• @redhat-cloud-services/frontend-components (7.7.2, 7.7.3)
• @redhat-cloud-services/frontend-components-advisor-components (3.8.2)
• @redhat-cloud-services/frontend-components-config (6.11.3, 6.11.4)
• @redhat-cloud-services/frontend-components-config-utilities (4.11.2, 4.11.3)
• @redhat-cloud-services/frontend-components-notifications (6.9.2, 6.9.3)
• @redhat-cloud-services/frontend-components-remediations (4.9.2, 4.9.3)
• @redhat-cloud-services/frontend-components-testing (1.2.1, 1.2.2)
• @redhat-cloud-services/frontend-components-translations (4.4.1, 4.4.2)
• @redhat-cloud-services/frontend-components-utilities (7.4.1, 7.4.2)
• @redhat-cloud-services/hcc-feo-mcp (0.3.1, 0.3.2)
• @redhat-cloud-services/hcc-kessel-mcp (0.3.1, 0.3.2)
• @redhat-cloud-services/hcc-pf-mcp (0.6.1, 0.6.2)
• @redhat-cloud-services/host-inventory-client (5.0.3, 5.0.4)
• @redhat-cloud-services/insights-client (4.0.4, 4.0.5)
• @redhat-cloud-services/integrations-client (6.0.4, 6.0.5)
• @redhat-cloud-services/javascript-clients-shared (2.0.8, 2.0.9)
• @redhat-cloud-services/notifications-client (6.1.4, 6.1.5)
• @redhat-cloud-services/patch-client (4.0.4, 4.0.5)
• @redhat-cloud-services/quickstarts-client (4.0.11, 4.0.12)
• @redhat-cloud-services/rbac-client (9.0.3, 9.0.4)
• @redhat-cloud-services/remediations-client (4.0.4, 4.0.5)
• @redhat-cloud-services/rule-components (4.7.2, 4.7.3)
• @redhat-cloud-services/sources-client (3.0.10, 3.0.11)
• @redhat-cloud-services/topological-inventory-client (3.0.10, 3.0.11)
• @redhat-cloud-services/tsc-transform-imports (1.2.2)
• @redhat-cloud-services/types (3.6.1, 3.6.2, 3.6.4)
• @redhat-cloud-services/vulnerabilities-client (2.1.8, 2.1.9)

Källa: opennet.ru