La Agencia de Seguridad de Infraestructura y Ciberseguridad el lunes Guía publicada relacionada con la cadena de suministro de Axios. compromiso revelado originalmente a finales de marzo.
un sospechoso El actor norcoreano comprometió el administrador del paquete del nodo cuenta para un mantenedor de axios el mes pasado. Axios es una biblioteca de Javascript que se utiliza ampliamente en la industria del software con millones de descargas por semana.
CISA insta a los equipos de seguridad a monitorear y revisar los depósitos de código, así como los canales de integración/entrega continua que ejecutaron npm install o npm update en la versión comprometida de axios, según la guía publicada el lunes.
Según la guía, los equipos de seguridad deben buscar versiones almacenadas en caché de las dependencias afectadas en repositorios de artefactos junto con herramientas de gestión de dependencias.
Si se encuentran dependencias comprometidas durante la búsqueda, las organizaciones deben revertir el entorno a un estado seguro conocido, dijo CISA.
Cualquier credencial que pueda haber quedado expuesta en un sistema o canalización afectado debe rotarse o revocarse, agregó.
Los equipos de seguridad también deben monitorear cualquier comportamiento anómalo o procesos secundarios inesperados.
Fuente