世界

別の週、別のNPMサプライチェーン攻撃|デビッド・リーによって| 9月、2025年

もう驚かない。Enterを押すか、クリックしてフルサイズの画像を表示しますサンドワームは、惑星の先住民族のフレメンによって敬意を表してシャイハルドと呼ばれます。名前は、アラビア語のشش愛خخلودから派生したものです（ShayʾKhulūd、「不滅のもの」）。ここに私たちは再び、人々です。 2025年9月、JavaScriptエコシステムはさらに別の壮大なサプライチェーン攻撃を提供しました。今回は、セキュリティ研究者が「Shai-Hulud」と呼んでいるもので40を超えるパッケージ（現在は180以上）を侵害しました。攻撃：Tinycolorはそれほど小さなマルウェアを取得しますEnterを押すか、クリックしてフルサイズの画像を表示します借りたものの視覚的表現 Snykのサプライチェーンセキュリティホワイトペーパー侵害されたバージョンには、パッケージTarballをダウンロードし、Package.jsonを変更し、ローカルスクリプト（bundle.js）を注入し、アーカイブを再び挿入し、再発行し、下流パッケージの自動トロジャン化を可能にする関数（npmmodule.updatePackage）が含まれます。皮肉は明白です。色を操作するように設計されたパッケージは、資格を盗むために操作されました。JavaScriptのセキュリティ失敗の最大のヒットに従っていない人のために、これを分解させてください。攻撃者は @ctrl/tinycolor、人気のある色の操作ライブラリのタイプスクリプトフォークを侵害しました彼らは悪意を注入しました bundle.js スクリプト… #別の週別のNPMサプライチェーン攻撃デビッドリーによって #9月2025年