bee-js、npm 13.3.0 のサプライチェーン侵害
侵害された公開自動化が @ethersphere/bee-js 13.3.0 と Swarm Desktop 0.56.2 を配信した。13.3.0 は約 75 分で npm から消え、デスクトップは 0.56.3 へ入れ替える。
8件
Bits · 8 件
keyv / cacheable、npm サプライチェーン侵害
メンテナアカウント侵害経由で preinstall が Bun ランタイムと難読化第二段階を起動し、クラウド／CI 資格情報を窃取して他パッケージへ自己伝播する。
npm、bypass-2FA granular access token の制限
2FA を回避する npm granular access token では、トークン作成・メンテナ変更・Trusted Publishing 設定などの管理操作ができなくなった。自動公開は Trusted Publishing か staged publishing へ寄せる必要がある。
npm、publish 時マルウェアスキャンと dual-use メタデータ
新規公開パッケージはインストール可能になる前に自動スキャンされ、通常は数分の遅延が入る。マルウェアに似た正当機能は package.json の contentPolicy と DISCLOSURE で宣言する。
npm 12 GAと2FA回避GATの段階的廃止
npm v12 が latest として一般提供され、install 時のセキュリティ既定が有効になった。2FA を回避する granular access token は、アカウント管理と直接 publish から段階的に権限が縮小される。
pnpm、GHSA-3qhv-2rgh-x77r（リポジトリ .npmrc の環境変数窃取）
リポジトリ内 .npmrc と pnpm-workspace.yaml で環境変数プレースホルダを展開し、依存解決時に CI トークン等を攻撃者レジストリへ送る脆弱性。v10.34.2 と v11.5.3 で修正され、リポジトリ側の ${...} 展開は停止する破壊的変更を含む。
npm 12
npm install のセキュリティ関連デフォルトが v12 で opt-in 化される。Git 依存・リモート URL・install スクリプトは明示許可が必要になり、11.16.0 以降で警告を確認できる。
npm 11.15.0
staged publishing が追加され、`npm stage` で 2FA を「承認」まで遅延できるようになった。