L’équipe JFrog Security Research a identifié une nouvelle variante de Shai-Hulud, le ver ciblant la chaîne d’approvisionnement logicielle, qui touche cette fois-ci l’écosystème npm. L’attaque a été initiée via deux bibliothèques de mise en cache largement utilisées, cacheable et keyv, avant de se propager à de nombreux packages npm populaires. À ce jour, JFrog a confirmé la compromission de 456 packages. Par ailleurs, keyv étant une dépendance transitive de nombreux outils largement utilisés, des organisations peuvent être exposées sans jamais avoir installé directement cette bibliothèque. Tribune.
Ci-dessous les principaux enseignements de cette nouvelle variante: :
-
456 packages compromis ont déjà été confirmés, un chiffre particulièrement élevé au regard des récentes attaques visant la chaîne d’approvisionnement logicielle.
-
Il n’est pas nécessaire d’avoir installé keyv volontairement pour être concerné. Cette bibliothèque est intégrée indirectement comme dépendance transitive de nombreux autres packages, ce qui étend l’exposition bien au-delà des seuls développeurs ayant choisi de l’installer.
-
Une simple mise à jour de routine a permis à certaines organisations d’échapper à ce vecteur d’attaque sans même le savoir. Les environnements exécutant npm 12 ou une version ultérieure ne sont pas concernés, cette version ayant désactivé par défaut les hooks de cycle de vie preinstall.
-
Les investigations sont toujours en cours. L’équipe JFrog Security Research poursuit actuellement la cartographie complète des packages et des versions compromis. De nouvelles conclusions techniques devraient être publiées dans les prochains jours.
« Ce nouveau retour de Shai-Hulud rappelle que l’industrie se croit souvent mieux protégée qu’elle ne l’est réellement. Ce qui rend cette nouvelle attaque particulièrement préoccupante, c’est que keyv est une dépendance transitive : la plupart des packages compromis sont utilisés par des équipes qui n’ont jamais choisi de l’installer et n’avaient aucun moyen de savoir qu’il était présent dans leur environnement. Il est impossible d’auditer manuellement une relation de confiance dont on ignorait jusqu’à l’existence. Les contrôles manuels ne peuvent plus suivre le rythme d’attaques visant les dépendances à la vitesse des machines. Les équipes de développement et de sécurité ont besoin d’une gouvernance et de mécanismes de sécurité automatisés capables de vérifier chaque binaire intégré à la chaîne d’approvisionnement, en tenant compte de son comportement et de sa position dans l’arbre des dépendances, afin d’établir une véritable chaîne de confiance, » affirme Shachar Menashe, Vice President of Security Research chez JFrog.
