Se ha reportado un importante compromiso en la cadena de suministro de npm que afecta al ecosistema Keyv, según una alerta de seguridad de @SlowMist_Team. Los atacantes han publicado más de 2,000 versiones maliciosas de paquetes, lo que ha generado alarmas dado la amplia adopción de Keyv, con aproximadamente 127 millones de descargas semanales.

Alcance del Compromiso

El ecosistema npm se enfrenta a una seria amenaza de seguridad, según lo detallado por SlowMist. El compromiso involucra más de 2,000 versiones maliciosas de paquetes dirigidas a Keyv, una capa de abstracción de almacenamiento clave-valor ampliamente utilizada. Keyv es compatible con múltiples backends de almacenamiento, incluidos Redis y PostgreSQL, lo que la convierte en una dependencia crítica para numerosas aplicaciones en los sectores cripto y tecnológico en general.

Dada la amplia integración de Keyv, las implicaciones para las aplicaciones derivadas son sustanciales. Las técnicas de ataque observadas en este incidente se asemejan a las utilizadas en ataques anteriores a la cadena de suministro de npm, lo que sugiere un esfuerzo sofisticado y coordinado por parte de los perpetradores. Incidentes previos notables —como el compromiso de event-stream en 2018 y la inyección de malware en ua-parser-js en 2021— demostraron cómo un solo paquete comprometido o secuestrado puede propagarse a través de miles de proyectos dependientes, ya que las profundas cadenas de dependencias transitivas de npm permiten que una sola capa maliciosa llegue a aplicaciones a varios pasos de distancia del paquete original.

El Rol y la Exposición de Keyv

Keyv es una solución de almacenamiento clave-valor popular que proporciona una interfaz unificada y sencilla para múltiples backends. Su uso generalizado significa que los paquetes maliciosos podrían afectar potencialmente a un gran número de proyectos que dependen de ella para operaciones de almacenamiento de datos.

El registro de npm, mantenido por GitHub tras su adquisición en 2020, gestiona un volumen significativo de dependencias de software para el desarrollo de aplicaciones y servicios web, y desempeña un papel central en la seguridad de la cadena de suministro de software. Incidentes de esta naturaleza impactan los estándares de ciberseguridad en toda la industria, reforzando la importancia del fijado de dependencias mediante lockfiles, la verificación de integridad y el escaneo automatizado de vulnerabilidades a través de herramientas como npm audit.

Acciones Recomendadas

Se insta a los equipos de seguridad a tomar las siguientes medidas:

• Revisar y auditar inmediatamente todas las dependencias de paquetes npm, particularmente las relacionadas con Keyv.
• Actualizar a versiones de paquetes seguras conocidas tras verificar su integridad.
• Monitorear los sistemas en busca de cualquier signo de compromiso que pueda haber resultado de los paquetes maliciosos.
• Mantenerse alerta a nuevas actualizaciones de investigadores de seguridad y del equipo de npm.

Los desarrolladores deben mantenerse vigilantes respecto a las dependencias de software y estar atentos a cualquier nueva vulnerabilidad que pueda surgir a medida que la situación se desarrolle. Se espera un aumento en las auditorías y en la adopción de prácticas más seguras de gestión de paquetes a medida que la comunidad responde para mitigar los riesgos.