Shai-Huludワームがkeyvなど434件のnpmパッケージを汚染、月間20億回インストールに影響

攻撃者はkeyvメンテナのGitHubアカウントを乗っ取り、認証情報を窃取するバージョンのkeyv 6.0.0、flat-cache 6.1.24、file-entry-cache 11.1.6、およびその他のcacheableファミリーを公開した。その後、このワームは434件以上のパッケージに拡散して月間20億回以上のインストールに到達しており、preinstallフックを通じてnpmトークン、GitHub PAT、AWSキー、Vaultシークレットを窃取したのち、自身を再公開する。keyvはNodeエコシステムの大部分において推移的依存関係にあり、汚染されたリリースは有効なGitHub Actions provenanceを保持している。これを検知・対処するには、アドバイザリのバージョンリストに基づくロックファイルのトリアージと、CIトークンのローテーションを行うしかない。

出典： aikido.dev ↗