【IT】JavaScript ライブラリ axiosのnpmが乗っ取られる-1.14.1と0.30.4は導入済みなら侵害前提で対応が必要 [田杉山脈★]

JavaScriptの代表的HTTPクライアントであるAxiosで、npm配布パッケージ自体が改ざんされるサプライチェーン攻撃が確認されました。StepSecurityによると、悪意あるバージョンは [email protected] と [email protected] で、攻撃者はAxiosの主要メンテナーのnpm資格情報を奪い、通常のGitHub Actionsによる公開フローを迂回してnpm CLIから直接公開したとされています。Techzineは、Axiosが週3億回超ダウンロードされる広範な利用基盤を持つため、影響範囲は非常に大きいと報じています。

【30秒でわかる本記事の概要】

axiosの主要メンテナのアカウントが乗っ取られ、悪意あるバージョン（1.14.1 および 0.30.4）が公開された。

このバージョンをインストールすると、Windows、macOS、Linuxを標的とした遠隔操作トロイの木馬（RAT）がシステムに投下される。

インストール後、自らの悪意あるコードを自動で削除して「クリーンなファイル」に偽装するなど、発見を遅らせる極めて巧妙な手口が使われている。

以下ソース
https://rocket-boys.co.jp/security-measures-lab/npm-axios-hijack-v1-14-1-v0-30-4-assume-breach/

今度はjavaかよ

大物キターーーー

これめっちゃヤバくない？

ウェブ開発者大体使ってるから超やばいよ

https://x.com/Star_Knight12/status/2038864009194295804

🚨緊急：Axiosがハッキングされました。以下が起こったことです：

→ 攻撃者が主要メンテナーのnpmアカウントを乗っ取り
→ メールアドレスを匿名プロトンメールに変更
→ GitHub Actionsを完全に回避
→ npm CLI経由で[email protected]を手動でプッシュ

この悪意あるバージョンは、昨日まで存在しなかった[email protected]というパッケージを注入します。

これは完全なRATドロッパーで、npm installを実行するだけで：

→ サイレントにpostinstallスクリプトを実行
→ OS（mac、windows、linux）を検知
→ プラットフォーム固有のペイロードをダウンロード
→ 実行後に自身を削除
→ クリーンな偽装用package.jsonに置き換え

後でnode_modulesをチェックしてもすべて正常に見えますが、ダメージはすでに発生しています。

Axiosは週に1億回以上のダウンロードがあり、これはランダムなパッケージではなく、あなたがこれまで触れたほぼすべてのJSプロジェクトに含まれています（私も含む）。

Axiosを使用している場合：
→ バージョンを1.14.0以下に固定
→ 今すぐlockfileを監査
→ 最新版でnpm installを実行しない
→ node_modulesにplain-crypto-jsが存在するか確認

これはトップ10パッケージに対する、最も洗練されたnpmサプライチェーン攻撃です。

npm installを盲目的に信頼するのをやめてください。

fetchを使わずにわざわざaxiosにする意味ある？

ちょっと楽。

ハッキングを犯罪にしたら？

>>6
怖すぎるんですけど
こりゃ5月の連休が無くなりそう

これは相当ヤバい
サプライチェーンの超高層建築に乗っかったJS/TSを捨てるときが来たんだ
みんなC#でBlazerを使うしかない

パッケージ乗っ取りが最近の流行りなのか

これはプログラマーじゃくてもPCにインストールされて実行してるファイルなの？

汚い
さすがアクシズ汚い

メジャーなライブラリは狙われるよねぇ

今なら普通fetch使うだろ。

大きめのシステムとかこれで作ってるの？

そっか今は、npmサーバーでwebサイト動かすのが当たり前なんだ。
環境構築するのが面倒くさいので、手を付けてねーや。

>>17
大きめとか関係なく多くのプロジェクトで使われてるう

Webの開発者、Javascriptはたいていやっているし、
ライブラリだって入っているもんな
自分でさえこれのサワリはできるもの　高校生でもするし個人、小規模も使うだろ
どうするよ　（自分はこのライブラリは使わないけど）

litellmはpypiから
githubから直接のgolang大勝利だな

マジかよギフハブ最低だな！

一般人も汚染されたaxiosを使っているページにアクセスしてjavaScriptが動くと
何かが起こる
だよね？
それとも開発者が遠隔操作トロイの木馬に侵入されて、そこから開発サーバー経由で放浪の旅？

>>23
一般人には影響ないし、特定のバージョンのみだから、最近バージョンアップしてなければ大丈夫。

サプライチェーン攻撃 って流行っているね
セキュリティ対策で懸念や抱かずに脳死で即最新版をインストールしよう運動が仇になっている

対応をあくしよす

>>2
javaじゃねえよ

プークスクス（笑）

どうやら犯人は北朝鮮

North Korean Hackers Compromise Popular Axios Package to Infect Windows, macOS, and Linux
https://cybersecuritynews.com/north-korean-hackers-compromise-widely-used-axios-package/

3年前だったらヤバかったけど
今はAIに必要なライブラリの機能を実装させればいいだけ
もはや大した問題じゃないよ

Fetch民ワイ高見の見物

apacheくらいで時が止まってる
なんのことかついて行けないorz

俺も俺も

>>30
github見てるから
乗っ取りのコードも学習元としていたらとんでもないことが起こりうる

AIコーディングはそのうちとんでもない事故を起こしそうだね。

北朝鮮の餓鬼も暇でアップデートかけたらウイルスだったとかすんだろ、ようするに

詳しい解析結果が説明されている。何が問題だったのか理解したい人には参考になるよ。

axios Compromised on npm - Malicious Versions Drop Remote Access Trojan
https://www.stepsecurity.io/blog/axios-compromised-on-npm-malicious-versions-drop-remote-access-trojan

npmとかいうクソシステムいい加減止めてほしい

偽パッチ仕込むとか大胆だな
意外と気付かないもんなんだな

ファミマに乗っ取られたんだろ？
知らんけど

パッケージマネージャーからインストールしたら開発環境が汚染
仮想化してたら復元はなんとかなるかな

>>7
レスポンス処理を書かんでいいのが楽(´・ω・｀)

>>39
最近はAIでレビューするから差し込むのが難しくなってきたらしいよ
ありがてぇこった

オープンソースでこれはきついな
大体放置だから

調べたけど大丈夫だった
3/31公開バージョンだから新規プロジェクトも更新もせずだったから助かった
新しい案件でcapacitorのプロジェクト作ろうとしてたから危うかったわ

まじかよ、マイクラ荒らされる

無効化するとブラウザが軽くなるよね

公式のnpmが一番カスだからな
bun使ったほうがまだマシ

axiosがやらかしただけなのにnpmの仕様変更されるとか頭おかしいだろ
どうせ開発者が事前に中身確認するつもりなけりゃ脳死で許可するだけなんだから手間が増えるだけ

Npmセキュリティガバガバ過ぎる
Gitのアカウントを乗っ取られたらセキュリティ保証無いに等しい
Gitアカウントなんて簡単に乗っ取られるし