Die Hiobsbotschaften reißen heute nicht ab. Im Beitrag Neuer Shai-Hulud Lieferkettenangriff auf npm tanstack-Pakete; CheckMarx Jenkins-Paket infiziert hatte ich über zwei Lieferkettenangriffe der letzten beiden Stunden berichtet. Der Mini Shai Hulud-Lieferkettenangriff auf npm tanstack-Pakete hat sich ausgeweitet und der OpenSearch-Client für Node.js ist auch kompromittiert.
Sicherheitsforscher haben inzwischen bereits 205 kompromittierte npm-Pakete als Folge des Mini Shai Hulud-Lieferkettenangriffs gefunden. Derweil bin ich über nachfolgenden Tweet darauf gestoßen, dass der OpenSearch-Client für Node.js auch kompromittiert ist.
Dort heißt es, dass neue Artefakte einer Kompromittierung bei:
@opensearch-project/opensearch: 3.5.3, 3.6.2, 3.7.0, 3.8.0 (1.3M weekly downloads)
mistralai: 2.4.6 on PyPI
guardrails-ai: 0.10.1 on PyPI
additional @squawk/* packages on npm
gefunden wurden. guardrails-ai 0.10.1 führt beim Import bösartigen Code aus. Unter Linux lädt es die Datei git-tanstack[.]com/transformers.pyz herunter, schreibt sie in das Verzeichnis /tmp/transformers.pyz und führt sie mit Python 3 ohne Integritätsprüfung aus.
Der OpenSearch-Client für Node.js ist eine Bibliothek, mit der sich Daten in OpenSearch speichern, suchen, aktualisieren und löschen lassen. Alles geht komplett per JavaScript/TypeScript Code.
MVP: 2013 – 2016
