Đang tải bảng tin…
Socket00 bình luận11 phút đọc
Miasma Mini Shai-Hulud Hits ImmobiliareLabs npm Packages
Socket Threat Research has identified a new wave of the Miasma Mini Shai-Hulud supply chain campaign targeting npm packages under the @immobiliarelabs scope, specifically Backstage plugins for GitLab integration and LDAP authentication. Malicious versions were published on June 26, 2026, following the same pattern as prior waves: a 'Phantom Gyp' binding.gyp trick triggers execution of a root-level index.js that decrypts and runs a multi-stage payload via Bun, exfiltrates secrets through the GitHub API, and plants persistence hooks in AI coding assistant plugins and IDE extensions. A likely upstream compromise vector is the codfish/semantic-release-action GitHub Action, which was itself compromised on June 24 via tag-hijacking, potentially giving attackers access to npm publishing credentials and GitHub tokens. Teams that installed affected versions should treat their environments as compromised, rotate all secrets, and audit GitHub Actions runs for deployment-triggered workflows.
Nguồn: https://socket.dev/blog/miasma-mini-shai-hulud-hits-immobiliarelabs-npm-packages. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Đề xuất cho bạn
CNCF19 phútAI
Securing CI/CD for an open source project, part 3: Credentials, verification, and what’s next
Bài viết thứ ba trong loạt bài tăng cường CI/CD của Cilium tập trung vào cô lập credential, ký ảnh (image signing) và xác thực chuỗi cung ứng, bao gồm sử dụng Sigstore Cosign, SPDX SBOMs, DCO sign-offs, cũng như liệt kê những hạn chế còn tồn tại như thiếu SLSA provenance hay govulncheck. Ngoài ra, bài viết còn đối chiếu lộ trình bảo mật 2026 của GitHub Actions với các biện pháp hiện tại và kế hoạch tương lai của Cilium.
Lập trình viên cần đọc bài này để hiểu cách bảo mật hóa chi tiết cho quy trình CI/CD của dự án mở nguồn, từ cách quản lý mật khẩu an toàn đến việc xác thực và triển khai các giải pháp hiện đại như OIDC và SBOM, giúp tránh rủi ro từ các lỗ hổng trong chuỗi cung ứng.
