Vừa mới phát hiện một vụ việc an ninh chuỗi cung ứng khá nghiêm trọng, thư viện khách hàng HTTP phổ biến nhất của JavaScript là axios đã bị tấn công.

Vấn đề như sau, kẻ tấn công đã đánh cắp token truy cập npm của người duy trì chính của axios, rồi trực tiếp phát hành hai phiên bản độc hại chứa Trojan truy cập từ xa, lần lượt là axios@1.14.1 và axios@0.3.4, có thể chạy trên macOS, Windows và Linux. Các gói độc hại này tồn tại trên npm khoảng 3 giờ trước khi bị phát hiện và gỡ bỏ.

Điều đáng sợ nhất là phạm vi ảnh hưởng. axios có hơn 100 triệu lượt tải mỗi tuần, theo dữ liệu của công ty an ninh Wiz, khoảng 80% môi trường đám mây và mã nguồn đều có axios. Công ty an ninh Huntress phản ứng rất nhanh, chỉ chưa đầy 2 phút sau khi gói độc hại xuất hiện đã phát hiện ra các hệ thống bị nhiễm đầu tiên, họ xác nhận ít nhất 135 hệ thống đã bị xâm nhập.

Điều đáng chú ý hơn nữa là, dự án axios thực ra đã triển khai các biện pháp an ninh hiện đại, bao gồm cơ chế phát hành đáng tin cậy OIDC và chứng nhận truy xuất nguồn gốc SLSA, nhưng kẻ tấn công đã hoàn toàn vượt qua. Điều tra cho thấy vấn đề nằm ở cấu hình, axios khi bật OIDC vẫn giữ lại token NPM_TOKEN truyền thống có thời hạn dài, trong khi npm khi tồn tại cả hai sẽ ưu tiên sử dụng token truyền thống theo mặc định. Điều này đã tạo điều kiện cho kẻ tấn công lợi dụng.

Sự kiện này nhắc nhở chúng ta rằng, chỉ có công cụ an ninh thôi là chưa đủ, cấu hình và quản lý quy trình cũng vô cùng quan trọng. Rất nhiều dự án mã nguồn mở có thể đối mặt với những rủi ro tương tự.