Netcrook
#Red Hat npm
I pacchetti npm fidati sono diventati la botola nella supply chain di Red Hat
Sono stati segnalati come compromessi almeno 32 pacchetti in uno spazio dei nomi ufficiale di Red Hat, mostrando come una singola dipendenza avvelenata possa trasformare installazioni di routine in un evento di raccolta segreta di dati.
Red Hat citata in un'indagine sulla supply chain npm mentre Mini Shai-Hulud torna sotto i riflettori
I ricercatori affermano che decine di pacchetti npm di Red Hat sono stati presi di mira, un promemoria del fatto che la fiducia nei pacchetti e l'esecuzione al momento dell'installazione possono trasformare una sola release difettosa in un problema di sicurezza più ampio.
Le release npm malevole trasformano uno spazio dei nomi fidato in un canale di distribuzione
Il caso del pacchetto Red Hat mostra come un registro software possa diventare la superficie d'attacco, anche quando il percorso esatto di pubblicazione rimane sconosciuto.
Quando la fiducia in npm diventa la via d'attacco: un worm che ruba credenziali raggiunge la linea di rilascio
Un compromesso nella catena di pubblicazione dei pacchetti può trasformare l'automazione fidata in un sistema di distribuzione per il furto di segreti e la reinfezione ripetuta.