专栏名称: 前端大全
分享 Web 前端相关的技术文章、工具资源、精选课程、热点资讯
目录
相关文章推荐
前端早读课  ·  【早阅】工程团队代码所有权挑战 ·  昨天  
前端早读课  ·  【第3434期】VSCode 推出 ... ·  3 天前  
前端早读课  ·  WeaveFox:前端智能研发解决方案 ·  4 天前  
前端早读课  ·  【第3433期】见证 Web ... ·  5 天前  
太星小升初  ·  人大附中教育集团扩军了 ·  5 天前  
51好读  ›  专栏  ›  前端大全

两款知名国产前端开源项目被“投毒”

前端大全  · 公众号  · 前端  · 2024-12-20 18:09

正文

转自:OSC开源社区

前端社区爆发了一起严重的供应链投毒事件——有赞开源组件库 Vant 和字节开源前端打包工具 Rspack 的多个版本被植入了恶意代码。

12 月 19 日,Vant 维护者在 GitHub 发布公告称,因团队成员的 npm token 被盗用,盗号者向多个版本注入了恶意脚本代码,并发布至 npm 仓库

受此次攻击影响,盗号者进一步拿到了同个 GitHub 组织下另一名 Rspack 维护者的 npm token,并发布了带有相同恶意代码的 Rspack 1.1.7 版本。
Rspack 团队知释后在一小时内完成该版本的废弃处理,并发布了 1.1.8 修复版本。

目前相关 token 已经全部清理。

两个开源项目均已发布了修复版本:

https://github.com/youzan/vant/releases/tag/v4.9.15

https://github.com/web-infra-dev/rspack/releases/tag/v1.1.8

Vant 受影响版本:

4.9.11 - 4.9.14
3.6.13 - 3.6.15
2.13.3 - 2.13.5

安全版本:

4.9.15
3.6.16
2.13.6

Rspack 受影响版本:

@rspack/core: 1.1.7
@rspack/cli: 1.1.7

安全版本:

1.1.8

恶意行为详情

在受影响的版本中,恶意代码会在 Linux 系统上下载并运行名为 vant_helper 的挖矿程序,并利用攻击者指定的钱包地址进行门罗币挖矿。

另外攻击者不仅仅是通过安装脚本来运行挖矿程序,他们还针对用户的云服务凭据进行了窃取,包括 /.aliyun/config.json、 /.hcloud/config.json 以及 ~/.tccli/default.credential 文件中的敏感信息。

这些信息被发送到一个位于 80.78.28.72 的攻击者控制服务器。

相关来源

https://github.com/youzan/vant/issues/13275

https://github.com/youzan/vant/discussions/13273

https://github.com/web-infra-dev/rspack/issues/8767

推荐阅读  点击标题可跳转

1、利用Chrome浏览器使用Overrides调试线上代码,真是太方便啦!

2、NPM 作者推出全新的 JavaScript 包管理器!

3、“应该禁止所有新项目使用 React!”微软资深工程师犀利 diss:“React 是行业标准”简直胡说!