Red Hat NPM Paketleri: Miasma Tehdidi
Red Hat’ın ‘@redhat-cloud-services’ isim alanı altındaki 30’dan fazla npm paketi, geliştirici kimlik bilgilerini çalan yeni bir Shai-Hulud malware varyantı olan “Miasma” ile tehlikeye atıldı. Bu saldırı, güvenlik firmaları Aikido ve OX Security tarafından tespit edildi ve etkileyici bir şekilde yaklaşık 117,000 haftalık indirme alan paketlerin arka kapı ile tehlikeye atıldığı belirlendi.
Saldırı Nasıl Çalışıyor?
Aikido’ya göre, saldırganlar bir Red Hat çalışanının GitHub hesabını ele geçirerek, kötü niyetli değişiklikler eklediler. Bu değişiklikler, GitHub Actions iş akışına entegre edildi ve npm’in yayımlama mekanizmasını kötüye kullanarak arka kapılı paketlerin yayınlanmasını sağladı.
- Yürütme sırasında, sistem önce Bun’ı kurar ve ardından
_index.jsdosyasını çalıştırır. - Bu işlem, GitHub’dan kısa süreli bir OIDC tokeni talep eder.
- Token, npm’in güvenilir yayımlama noktasında kimlik doğrulama işlemi için kullanılır.
Etkin paketlerin içindeki kötü niyetli ‘preinstall’ script, geliştiricilerin paketleri kurması durumunda otomatik olarak çalışır. Bu script, GitHub Actions sırları, AWS kimlik bilgileri, Google Cloud kimlik bilgileri gibi kritik verileri çalar.
Etkilenen Sistemler
Aikido, toplamda 32 paket ve 96 paket sürümünün etkilendiğini bildirdi. Bu paketler, @redhat-cloud-services isim alanında bulunan birçok istemci kütüphanesini içeriyor. Bu sistemlere saldırı gerçekleşmişse, organizasyonların derhal şu adımları atması öneriliyor:
- Tüm kimlik bilgilerini, sırları ve token’ları derhal değiştirin.
- Etki altında kalmış olan herhangi bir cihazdaki yazılımı güncelleyin.
Çözüm ve Korunma
Red Hat, olayın başladığı andan itibaren etkilenen paketleri kaldırdığını açıkladı ve bu durumun yalnızca dahili geliştirme araçlarını etkilediğini duyurdu. Şirket, olayın müşterilerin veya iş ortaklarının sistemlerine bir etkisinin olmadığını belirtti. Ancak, kullanılan tüm kimlik bilgilerini değiştirmek hayati önem taşımaktadır.
İlgili CVE kodları ve güncellemeleri takip etmek, korunma stratejileri geliştirmek ve kütüphane bağımlılıklarını düzenli olarak denetlemek, bu tür saldırılara karşı alınabilecek en iyi önlemlerdir.
Sonuç
Eğer bir Red Hat paketi kullanıyorsanız, derhal tüm kimlik bilgilerinizi ve sırlarınızı değiştirmelisiniz. Ayrıca, etkilenen paketlerin en güncel sürümlerine geçiş yapmalı ve sistem güvenliğiniz için gerekli önlemleri almalısınız. Port kapama, izleme ve güncellemeler gibi ek güvenlik stratejileri uygulamak, daha büyük tehditlere karşı korunmanıza yardımcı olacaktır.
