Je viens de voir un incident de sécurité de la chaîne d'approvisionnement assez grave. La bibliothèque cliente HTTP JavaScript la plus populaire, axios, a été attaquée.

Pour faire simple, l'attaquant a volé le jeton d'accès npm du principal mainteneur d'axios, puis a publié deux versions malveillantes contenant un cheval de Troie à distance (versions 1.14.1 et 0.3.4), ciblant macOS, Windows et Linux. Ces versions malveillantes sont restées sur le registre npm pendant environ 3 heures avant d'être retirées.

Ce qui est encore plus effrayant, c'est l'étendue de l'impact. Selon la société de sécurité Wiz, axios est téléchargé plus d'un milliard de fois par semaine, et il est présent dans environ 80 % des environnements cloud et de code. Cela signifie que le nombre de systèmes potentiellement affectés pourrait être très élevé. La société de sécurité Huntress a détecté la première infection seulement 89 secondes après la mise en ligne des versions malveillantes, et a confirmé qu'au moins 135 systèmes avaient été compromis durant la fenêtre d'exposition.

Ce qui est le plus intéressant, c'est que le projet axios a en réalité déjà déployé un mécanisme de publication de confiance OIDC et une preuve de traçabilité SLSA, ces mesures de sécurité modernes. Mais l'attaquant a quand même réussi à contourner complètement ces protections. L'enquête a révélé que le problème venait d'une mauvaise configuration — le projet, tout en activant OIDC, conservait également un ancien jeton npm à long terme, et npm privilégie par défaut ce jeton traditionnel lorsque les deux coexistent. En conséquence, l'attaquant n'avait pas besoin de contourner OIDC, il a simplement utilisé l'ancien jeton pour publier avec succès.

Que nous enseigne cette affaire ? Même les mécanismes de sécurité les plus récents et robustes sont inutiles si la configuration est incorrecte. L'exemple d'axios nous met en garde : la sécurité de la chaîne d'approvisionnement ne se limite pas à la technique, les détails d'exécution sont tout aussi cruciaux. Si votre projet ou application dépend de bibliothèques open source largement utilisées, il est peut-être temps de vérifier vos dépendances.