攻撃者は開発者の認証情報を盗まずにnpmパッケージを乗っ取れる
npmの「Trusted Publishing」の仕組みに欠陥があり、攻撃者が開発者のnpmアカウントやGitHubアカウント、公開用トークンを侵害することなく、正規パッケージに悪意あるアップデートを公開できる恐れがあることが分かりました。 研究者は、合計ダウンロード数が1000万を超える1,500以上のパッケージが
タグ: パッケージ乗っ取り
npmパッケージ1,500件超、Trusted Publishingの検証不備で危険にさらされる
npmの信頼モデルに弱点があり、攻撃者が放棄されたGitHubリポジトリ名を取得することで、正規パッケージに更新版を公開できてしまう恐れがあることが、研究者の調査で判明しました。 npmのTrusted P
npmのTrusted Publishingに欠陥、1,500超のnpmパッケージが乗っ取りの危険にさらされる
Bloom Securityの研究者らは、npmの「Trusted Publishing」機能に、認証情報を盗まなくても他人のパッケージの新バージョンを公開できてしまう欠陥があることを突き止めました。攻撃者に必要なのは、メンテナーが放置したGitHubリポジトリ名を登録することだけです。Bloomはこ
AIエージェント向け指示ファイルが招く侵入経路 攻撃者がフォーチュン500企業ネットワーク内でコードを実行可能に
公開されている正規のインフラだけを使った新たなサプライチェーン攻撃の手法が明らかになりました。鍵となるのはLLM.txtファイルです。 Alon Hertz氏は制御された実験の中で、企業の公式インストラクションファイルに記載されながら未登録だったパッケージ名を取得し、フォーチュン500企業のネットワーク内でわずか4分
PyPIの「Revival Hijack」により数千のアプリケーションが危険にさらされる
セキュリティ研究者によると、新たなソフトウェア・サプライチェーン攻撃が実際に悪用...