.avif)
ソフトウェア・サプライチェーンのセキュリティに関するニュース
悪意のあるパッケージ、依存関係攻撃、実際の侵害事例など、ソフトウェア・サプライチェーンにおける最新のセキュリティインシデント情報を随時お届けします。何が起きたのか、なぜ重要なのか、そして開発者が先手を打つために何を修正すべきかを詳しく解説します。
wfx-lootキャンペーンにより、CIシークレット窃取ツールが数万のリポジトリに拡散
乗っ取られたアカウントが相次いでおり、CIシークレット窃取ツールが拡散されています。自身が影響を受けているかどうか、何が盗まれるのか、そしてどのシークレットを更新すべきかを確認してください。
GoogleAPI 、削除した後も引き続き機能します
GoogleAPI 削除しても、即座に無効化されるわけではありません。当社のテストでは、削除後最大 23 分経過しても認証が成功することが確認されており、Google はこの問題を修正する意向を示していません。
VS Code拡張機能の「無法地帯」と、悪意のある拡張機能がGitHubのセキュリティを侵害した経緯
昨日、GitHubに悪意のあるVS Code拡張機能が侵入した。これは、Visual Studio Marketplaceで「Nx Console」（インストール数220万件）が18分間にわたり侵害され、自動更新を有効にしているすべてのユーザーに影響が及んだ翌日の出来事である。
悪意のあるVS Code拡張機能によるGitHubへの侵入：開発者の端末こそが真の標的である理由
GitHubは、悪意のあるVS Code拡張機能によって従業員の端末が侵害され、3,800件の社内リポジトリが流出していたことを確認した。なぜ開発者のワークステーションが、今やサプライチェーン攻撃の最大の標的となっているのか。
PyPi上のMicrosoft製durabletaskパッケージが侵害された。Mini Shai Huludがまたもや攻撃を仕掛けてきた……またもや！
マイクロソフト関連のPythonパッケージの、段階的に改変された3つのバージョンは、AWSやKubernetesを通じて拡散し、見つかる限りのクラウド認証情報を盗み出し、イスラエルおよびイランのシステム上のディスクを消去する、多機能な情報窃取型マルウェアを配布している
ミニ・シャイ・フルードが再び襲来：npmワームが@antvのパッケージ数百個を侵害
「Mini Shai-Hulud」というnpmワームが、Alibabaの@antvパッケージ、echarts-for-react、およびtimeago.jsを攻撃しました。CI/CD シークレット盗み出し、VS CodeやClaude Codeにバックドアを仕込み、侵害されたパッケージを再公開することで拡散します。ここでは、何が起きたのか、そしてチームを守る方法について解説します。
ミニ・シャイ・フルードが帰ってきた：npm WormがMistralやTanstackを含む160以上のパッケージを検出
「Mini Shai-Hulud」が再び現れ、TanStack、UiPath、Squawkなどの169のnpmパッケージを悪用して、開発者やCI/CD シークレット盗み出し、信頼された公開ワークフローを通じて拡散しています。
人気のPyTorchライブラリ「Lightning」が「Mini Shai-Hulud」によって侵害される
人気のあるPyTorch Lightningのバージョン2.6.2および2.6.3にマルウェアが発見され、「Mini Shai-Hulud」キャンペーンの一環として、認証情報、暗号資産ウォレット、VPN設定情報が盗み出されていた。
Mini Shai-Hulud、パンを装った秘密情報窃取ツールでSAPのnpmパッケージを標的に
侵害されたSAPのnpmパッケージは、Bunをベースとしたプレインストールペイロードを使用してGitHub、npm、クラウド、およびCIシークレット盗み出し、その後「OhNoWhatsGoingOnWithGitHub」を利用してGitHub経由で拡散します。
ある人物が、ユーザーの.envファイルを盗むために、27分間で偽の「tanstack」パッケージを4つのバージョン公開した
本日、偽の「tanstack」npmパッケージが27分間で4つの悪意あるバージョンを公開し、postinstallフックを介して.envファイルを盗み出しました。ここでは、何が起きたのか、誰が影響を受けたのか、そして認証情報を更新する方法について解説します。
ブラウザ拡張機能をサプライチェーン攻撃の経路として扱うべき時が来た
Vercelでのセキュリティ侵害は、セキュリティ業界ではよく知られたパターンに沿ったものでした。つまり、サードパーティのコードが暗黙のうちに信頼され、その後、上流で侵害されるというものです。私たちには、こうした事態に対処するためのフレームワークがあります。ただ、まだブラウザ拡張機能には適用していないだけです。（ネタバレ：私たちはソフトウェア依存関係これを行っています）
今すぐ、安全な環境へ。
コード、クラウド、ランタイムを1つの中央システムでセキュアに。
脆弱性を迅速に発見し、自動的に修正。
