Une compromission significative de la chaîne d'approvisionnement npm a été signalée, affectant l'écosystème Keyv, selon une alerte de sécurité de @SlowMist_Team. Les attaquants ont publié plus de 2 000 versions de paquets malveillants, suscitant l'inquiétude compte tenu de l'adoption massive de Keyv, avec environ 127 millions de téléchargements hebdomadaires.

Portée de la compromission

L'écosystème npm fait face à une menace de sécurité grave, comme l'a détaillé SlowMist. La compromission concerne plus de 2 000 versions de paquets malveillants ciblant Keyv, une couche d'abstraction de stockage clé-valeur largement utilisée. Keyv prend en charge plusieurs backends de stockage, notamment Redis et PostgreSQL, ce qui en fait une dépendance critique pour de nombreuses applications dans les secteurs de la crypto et de la technologie au sens large.

Compte tenu de la large intégration de Keyv, les implications pour les applications en aval sont considérables. Les techniques d'attaque observées dans cet incident ressemblent à celles utilisées lors de précédentes attaques sur la chaîne d'approvisionnement npm, suggérant un effort sophistiqué et coordonné de la part des auteurs. Des incidents notables passés — tels que la compromission de event-stream en 2018 et l'injection de logiciels malveillants dans ua-parser-js en 2021 — ont démontré comment un seul paquet compromis ou détourné peut se propager à des milliers de projets dépendants, car les chaînes profondes de dépendances transitives de npm permettent à une seule couche malveillante d'atteindre des applications éloignées de plusieurs niveaux du paquet d'origine.

Rôle et exposition de Keyv

Keyv est une solution de stockage clé-valeur populaire qui offre une interface simple et unifiée pour plusieurs backends. Son utilisation répandue signifie que les paquets malveillants pourraient potentiellement affecter un grand nombre de projets qui en dépendent pour leurs opérations de stockage de données.

Le registre npm, géré par GitHub à la suite de son acquisition en 2020, traite un volume important de dépendances logicielles pour le développement d'applications et de services web et joue un rôle central dans la sécurité de la chaîne d'approvisionnement logicielle. Les incidents de cette nature ont un impact sur les normes de cybersécurité dans l'ensemble du secteur, renforçant l'importance du verrouillage des dépendances via des fichiers de verrouillage (lockfiles), de la vérification d'intégrité et de l'analyse automatisée des vulnérabilités à l'aide d'outils tels que npm audit.

Actions recommandées

Les équipes de sécurité sont invitées à entreprendre les mesures suivantes :

• Examiner et auditer immédiatement toutes les dépendances de paquets npm, en particulier celles liées à Keyv.
• Mettre à jour vers des versions de paquets reconnues comme sûres après avoir vérifié leur intégrité.
• Surveiller les systèmes pour détecter tout signe de compromission pouvant résulter des paquets malveillants.
• Rester attentif aux futures mises à jour des chercheurs en sécurité et de l'équipe npm.

Les développeurs doivent rester vigilants concernant les dépendances logicielles et surveiller toute nouvelle vulnérabilité qui pourrait émerger à mesure que la situation évolue. Une augmentation des audits et l'adoption de pratiques de gestion de paquets plus sécurisées sont attendues alors que la communauté répond pour atténuer les risques.