Tag

#npm

9 개 게시물

TanStack의 6분간의 악몽

정교한 웜이 42개의 TanStack 패키지를 순식간에 뚫고 지나가며 OpenAI와 Mistral AI 같은 거대 기업들을 위협했습니다. 이는 단순한 자격 증명 유출이 아니었습니다. 오픈소스 보안의 규칙을 다시 쓰는 연쇄 공격이었습니다.

악명 높은 Shai-Hulud 웜이 진화하여 npm에서 Go ecosystem으로 확산되었습니다. 더 이상 종속성 내에 숨어 있지 않고, 프로젝트를 여는 순간 VS Code 및 Claude 설정을 무기화하여 비밀을 훔칩니다.

수년 동안, 단 한 번의 `npm install` 명령으로도 사용자의 머신에 공급망 공격이 발생할 수 있었습니다. NPM 12는 기본적으로 자동 스크립트 실행을 중단함으로써 마침내 그 문을 닫습니다.

오픈 소스 종속성은 'Shai-Hulud' 웜과 같은 위협이 프로젝트를 침범하게 하는 막대한 보안 위험입니다. 무료 원-커맨드 도구로 이러한 공격이 시작되기도 전에 차단할 수 있습니다.

NPM 공급망 공격이 급증하고 있지만, 단 하나의 설정으로 대부분을 무력화할 수 있습니다. 이 30초 수정은 새 패키지 설치를 지연시켜 커뮤니티가 악성코드가 사용자 기기에 도달하기 전에 발견할 시간을 제공합니다.

공급망 공격이 매주 Node.js 프로젝트를 강타하고 있지만, 몇 분 만에 설정을 강화할 수 있습니다. npm, pnpm, Bun을 위한 이 검증된 전략들은 대부분의 공격을 시작하기 전에 막을 것입니다.

Deno 2.8이 Node.js 세계에 큰 충격을 주며, 가장 고질적인 개발자들의 골칫거리 세 가지를 해결했습니다. 설치 속도가 3.6배 빨라지고, 보안 패치가 자동화되었으며, npm 게시가 이제 단일 명령어로 가능해진 방법을 알아보세요.

간단한 `npm install` 명령이 정교한 공격을 촉발하여 단 두 시간 만에 SAP 개발자들의 클라우드 비밀을 빼냈습니다. 이는 '미니 샤이-훌루드' 해킹 사건과 귀하의 프로젝트가 위험에 처한 이유에 대한 이야기입니다.

공식 Bitwarden CLI의 악성 버전이 주요 공급망 공격에서 게시되어 개발자들의 비밀을 그들의 기기에서 직접 훔쳤습니다. 이것이 Shai-Hulud attack이 작동하는 방식이며 왜 즉시 조치를 취해야 하는지입니다.