BufferZoneCorp 系 Ruby ジェムと Go モジュール、CI 狙いのサプライチェーン
GitHub 上の BufferZoneCorp アカウントが公開したスリーパー型の Ruby ジェムと Go モジュールが、インストール時や CI で資格情報窃取・GitHub Actions 改ざん・SSH 永続化などを行うキャンペーンとして調査されている。調査者はレジストリと Go セキュリティチームへの報告とブロック対応を確認している。
3件
入力して検索を開始
3件
GitHub 上の BufferZoneCorp アカウントが公開したスリーパー型の Ruby ジェムと Go モジュールが、インストール時や CI で資格情報窃取・GitHub Actions 改ざん・SSH 永続化などを行うキャンペーンとして調査されている。調査者はレジストリと Go セキュリティチームへの報告とブロック対応を確認している。
PyPI に公開されていた Python パッケージ lightning の 2.6.2 と 2.6.3 に、import 時に資格情報窃取などを行う悪意あるビルドが混入した。メンテナは公式ブログで事案と復旧手順を説明し、複数のセキュリティベンダーが技術詳細と隔離状況を公表している。
Node.js 22 以上が必須で本体は pure ESM になった。供給網向けの既定が強まり、ストアは SQLite インデックス、publish 系は npm CLI 非依存のネイティブ実装に切り替わった。