L’équipe de recherche en sécurité de JFrog a analysé une attaque sophistiquée de la chaîne d’approvisionnement visant les utilisateurs de la bibliothèque Axios. Largement adoptée, cette bibliothèque cliente HTTP compte près de 300 millions de téléchargements hebdomadaires, ce qui confère à cette menace une portée particulièrement critique.
Tribune – Ce malware met en évidence un risque systémique majeur : l’installation d’un package ne se limite pas à un composant isolé, mais entraîne l’intégration d’une chaîne complète de dépendances, souvent non vérifiées, qui échappent au contrôle direct des équipes et peuvent introduire des vulnérabilités à grande échelle.
« La compromission d’Axios rappelle que les attaques complexes et multi-plateformes de la chaîne d’approvisionnement se multiplient. La menace est à la fois réelle et systémique : l’installation d’un package s’accompagne de l’intégration de nombreuses dépendances associées, que vous ne contrôlez pas mais auxquelles vous devez pourtant accorder votre confiance.
Les équipes de sécurité doivent cesser d’adopter une posture réactive face aux incidents et s’attacher à bloquer les risques à la source afin de sécuriser efficacement la chaîne d’approvisionnement logicielle. Le passage de vérifications manuelles à des processus automatisés permet d’identifier et de maîtriser les dépendances non vérifiées avant même qu’elles n’atteignent un poste de développement ou n’impactent un environnement de production », déclare Amit Geynis, Responsable du Malware Research Group chez JFrog.
