{"id":181856,"date":"2026-06-02T08:48:05","date_gmt":"2026-06-02T06:48:05","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat"},"modified":"2026-06-02T08:48:05","modified_gmt":"2026-06-02T06:48:05","slug":"atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/atakuyushhie-vstroili-vredonosnoe-po-v-32-npm-paketa-red-hat","title":{"rendered":"Angripare har infogat skadlig kod i 32 NPM-paket fr\u00e5n Red Hat","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Som ett resultat av kompromissen av processen f\u00f6r att skapa releaser baserat p\u00e5 GitHub Actions i Red Hats RedHatInsights-repositorier, lyckades angripare publicera 64 skadliga versioner i NPM-katalogen, som omfattar 32 NPM-paket f\u00f6r Red Hat Cloud Services. F\u00f6r varje drabbat NPM-paket sl\u00e4pptes tv\u00e5 skadliga versioner, d\u00e4r en kod f\u00f6r att aktivera ett nytt variant av masken mini-shai-hulud integrerades med syfte att s\u00f6ka efter token och autentiseringsuppgifter i den aktuella milj\u00f6n. <\/p>\n
Masken placerades i filen index.js och aktiverades genom en preinstall-behandler som kallades vid installation av det drabbade paketet. Efter aktiveringen s\u00f6kte masken i systemet efter token till NPM (~\/.npmrc), PyPI, CircleCI, AWS, GCP, Docker, Azure, HashiCorp och KubernetesK8s, samt privata SSH-nycklar. Hittad information skickades till angriparna. Om en token f\u00f6r \u00e5tkomst till NPM-katalogen uppt\u00e4cktes publicerade masken automatiskt nya skadliga releaser f\u00f6r de paket som utvecklades i den aktuella milj\u00f6n, vilket p\u00e5verkade beroendetr\u00e4det. <\/p>\n
\u00c5tkomst till GitHub Actions erh\u00f6lls genom en kompromettering av en av Red Hats anst\u00e4lldas konton, vilket gjorde det m\u00f6jligt f\u00f6r angripare att direkt skicka commits till repositorierna javascript-clients, frontend-components och platform-frontend-ai-toolkit, utan att g\u00e5 igenom granskningssteget. Genom commits i det kontinuerliga integrationssystemet infogades en fil ci.yaml som, vid k\u00f6rning av byggjobbet, k\u00f6pte skriptet _index.js med hj\u00e4lp av plattformen bun. Skriptet anv\u00e4nde beh\u00f6righeten \"id-token: write\" f\u00f6r att beg\u00e4ra en OIDC-token (OpenID Connect) fr\u00e5n GitHub, som sedan anv\u00e4ndes f\u00f6r autentisering i NPM genom mekanismen \"trusted publishing\".<\/p>\n