GitHubOAuth違反で盗まれた約100,000のNPMユーザーの資格情報 from thehackernews.com
security summary
2015年のユーザー情報のアーカイブと、すべてのプライベートNPMパッケージマニフェストおよびパッケージメタデータが含まれます。
2022年4月10日現在のすべてのNPMプライベートパッケージの公開バージョンのすべての名前とバージョン番号のアーカイブを含むCSVファイルのセット。
GitHubで詳しく説明されているように、攻撃チェーンには、攻撃者がOAuthトークンを悪用してAWSアクセスキーを含むプライベートNPMリポジトリを盗み出し、その後それらを利用してレジストリのインフラストラクチャへの不正アクセスを取得することが含まれていました。
4月12日にGitHubが発見したOAuthの盗難は、2人のサードパーティOAuthインテグレーターであるHerokuとTravis CIに発行された盗まれたOAuthユーザートークンを利用して、NPMを含む数十の組織からデータをダウンロードする身元不明の攻撃者に関するものでした。
コメント