JavaScript-malware in populaire library Zod op tijd ontdekt: 'Close call'

In dit artikel:

Aanvallers voegden drie weken geleden malware toe aan versie 4.6.6 van Zod, een populaire TypeScript-library die invoerdata valideert voordat applicaties die verwerken. De bibliotheek telt naar schatting 342 miljoen downloads per week.

De kwaadaardige commit kon externe JavaScript-code en een payload downloaden en uitvoeren. Een analyse ontdekte de wijziging echter voordat die de npm-publicatiepijplijn bereikte, waardoor geen besmette versie beschikbaar is gekomen. Volgens de maintainer was vermoedelijk een Git-pushcredential gecompromitteerd. De bestaande beveiliging met trusted publishing en een aparte GitHub-omgeving voorkwam publicatie. Naar aanleiding van het incident worden alle npm-packages van de maintainer voortaan gepubliceerd via environment-scoped staged publishing, met tweefactorauthenticatie als vereiste.