Mehrere npm Pakete aus Red Hats Cloud Umfeld wurden manipuliert. Die Attacke schleuste heimlich Malware ein und gefährdete sensible Zugangsdaten.
Laut Sicherheitsfirma Aikido tauchten die betroffenen Pakete Anfang Juni auf. Insgesamt waren viele Versionen verschiedener Bibliotheken kompromittiert. Die Schadsoftware befand sich in einem versteckten Installationsskript. Dieses lief automatisch beim Installieren der Pakete.
Die Malware trägt den Namen Miasma. Sie stiehlt Zugangsdaten aus Entwicklerumgebungen. Dazu gehören Cloud Schlüssel, CI Tokens und SSH Schlüssel. Die Angreifer nutzten stark verschleierten Code. Dieser wurde in zentrale Dateien eingebettet und unbemerkt ausgeführt.
Die Pakete wurden über GitHub Actions veröffentlicht. Das deutet auf einen Angriff auf die CI Pipeline hin. Red Hat bestätigt einen kompromittierten GitHub Zugang. Die manipulierten Pakete flossen in einige Build Prozesse ein. Die betroffenen Versionen wurden inzwischen entfernt.
Red Hat erklärt in einem aktuellen Bulletin, dass keine Maßnahmen für Kunden nötig sind. Die Untersuchung läuft weiter. Entwickler sollten dennoch ihre Systeme prüfen. Aikido rät zur sofortigen Rotation aller sensiblen Schlüssel. Besonders betroffen sind Installationen nach dem ersten Juni.
Betroffen sind u.a. diese Pakete:
- @redhat-cloud-services/chrome
- @redhat-cloud-services/frontend-components
- @redhat-cloud-services/frontend-components-config
- @redhat-cloud-services/frontend-components-notifications
- @redhat-cloud-services/insights-client
- @redhat-cloud-services/rbac-client
- @redhat-cloud-services/vulnerabilities-client
- Weitere unter @redhat-cloud-services npm Namespace.
Teams sollten ihre Abhängigkeiten gründlich kontrollieren. Dazu gehören Lockfiles, CI Protokolle und Build Artefakte. Jede Umgebung mit betroffenen Paketen gilt als potenziell gefährdet. Weitere Informationen liefert Red Hats Sicherheitsmeldung zu den Cloud Services Paketen. Die Untersuchung läuft indes noch.
Schreibe einen Kommentar