月間100万DLのOSSパッケージが認証情報窃取

機械学習システムの性能監視と異常検知を支援するコマンドラインインターフェース「element-data」が攻撃者により悪用された。攻撃者は開発者のGitHubアクションの脆弱性を悪用し、プルリクエストに悪意のあるコードを投稿することで、開発者アカウント内でbashスクリプトを実行させた。これにより署名キーやアカウントトークンなどの機密情報にアクセスし、正規版とほぼ区別がつかない悪意のあるバージョン0.23.3をPython Package IndexとDockerイメージアカウントに公開した。悪意のあるパッケージは実行時にユーザープロファイル、データベース認証情報、クラウドプロバイダーキー、APIトークン、SSH鍵を収集した。開発者は第三者からの報告で侵害を知り、3時間以内にパッケージを削除し、全ての認証情報をローテーションした。Elementary Cloud、Elementary dbtパッケージ、その他のCLIバージョンは影響を受けていない。開発者は影響を受けたユーザーに対し、バージョン確認、アンインストールと安全版への更新、キャッシュファイル削除、マーカーファイルの確認、認証情報のローテーション、セキュリティチームへの連絡を緊急に要請している。