Una significativa compromissione della supply chain di npm è stata segnalata, con impatto sull'ecosistema Keyv, secondo un avviso di sicurezza di @SlowMist_Team. Gli aggressori hanno pubblicato oltre 2.000 versioni di pacchetti dannosi, suscitando allarme vista la vasta adozione di Keyv, con circa 127 milioni di download settimanali.

Portata della Compromissione

L'ecosistema npm sta affrontando una seria minaccia alla sicurezza, come dettagliato da SlowMist. La compromissione coinvolge più di 2.000 versioni di pacchetti dannosi mirati a Keyv, un ampiamente utilizzato livello di astrazione per l'archiviazione chiave-valore. Keyv supporta molteplici backend di archiviazione, tra cui Redis e PostgreSQL, rendendolo una dipendenza critica per numerose applicazioni nei settori crypto e tecnologici in generale.

Data la vasta integrazione di Keyv, le implicazioni per le applicazioni a valle sono sostanziali. Le tecniche di attacco osservate in questo incidente ricordano quelle utilizzate in precedenti attacchi alla supply chain di npm, suggerendo uno sforzo sofisticato e coordinato da parte dei responsabili. Incidenti passati degni di nota — come la compromissione di event-stream nel 2018 e l'iniezione di malware in ua-parser-js nel 2021 — hanno dimostrato come un singolo pacchetto compromesso o dirottato possa propagarsi a migliaia di progetti dipendenti, poiché le profonde catene di dipendenze transitive di npm permettono a un singolo strato dannoso di raggiungere applicazioni distanti diversi livelli dal pacchetto originale.

Ruolo ed Esposizione di Keyv

Keyv è una popolare soluzione chiave-valore che fornisce un'interfaccia semplice e unificata per molteplici backend. Il suo uso diffuso significa che i pacchetti dannosi potrebbero potenzialmente afecttare un gran numero di progetti che dipendono da esso per le operazioni di archiviazione dei dati.

Il registro npm, gestito da GitHub in seguito all'acquisizione del 2020, gestisce un volume significativo di dipendenze software per lo sviluppo di applicazioni e servizi web e svolge un ruolo centrale nella sicurezza della supply chain software. Incidenti di questa natura influiscono sugli standard di cybersicurezza dell'intero settore, rafforzando l'importanza del blocco delle dipendenze tramite lockfile, della verifica dell'integrità e della scansione automatizzata delle vulnerabilità attraverso strumenti come npm audit.

Azioni Consigliate

I team di sicurezza sono invitati a intraprendere le seguenti azioni:

• Revisionare e controllare immediatamente tutte le dipendenze dei pacchetti npm, in particolare quelle relative a Keyv.
• Aggiornare a versioni di pacchetto note come sicure dopo averne verificato l'integrità.
• Monitorare i sistemi per eventuali segnali di compromissione che possano derivare dai pacchetti dannosi.
• Rimamere all'erta per ulteriori aggiornamenti da parte dei ricercatori di sicurezza e del team npm.

Gli sviluppatori dovrebbero rimanere vigili riguardo alle dipendenze software e monitorare eventuali nuove vulnerabilità che potrebbero emergere man mano che la situazione evolve. Sono previsti controlli più approfonditi e l'adozione di pratiche di gestione dei pacchetti più sicure, come risposta della comunità per mitigare i rischi.