Nx Console v18.95.0 Supply Chain Attack: Malware Analysis & Mitigation

脆弱性情報概要 脆弱性名称: Nx Console v18.95.0 サプライチェーン攻撃 発見日時: 2026-05-18 脆弱性情報: 攻撃者は2026-05-18 12:30〜13:09 UTCの時間帯に、Visual Studio MarketplaceおよびOpen VSXレジストリに対して悪意のあるNx Console v18.95.0を公開しました。この悪意あるバージョンはTanStackサプライチェーン攻撃を通じて入手され、コントリビューターのGitHub OAuthトークンを悪用しました。 影響範囲 影響を受けるバージョン: Nx Console v18.95.0 影響を受けないバージョン: v18.100.5以降 インストール数: - Visual Studio Marketplace: インストール28件 - Open VSX: ダウンロード41件（21の一意なIPアドレスから） - Nx内部での有効化数: 約6,000件の有効化（インストール数ではありません） 修正方法 修正済みバージョン: v18.100.5以降 推奨対応策: - 2026-05-18 12:30〜13:09 UTCの間にv18.95.0をインストールしたユーザーは、当該マシンが感染済みとみなし、すべての証明書をローテーションしてください。 - 配信パイプラインの脆弱性を修正し、他の公開可能なリポジトリにも拡大対応してください。 - Nx Consoleの自動更新を有効にしているユーザーは、自身のマシンが感染済みとみなしてください。 マルウェアの振る舞い 永続化: - macOS/Linux: （Pythonバックドア）、 （再起動時の永続化）、 （一時保存領域）、 （状態管理ファイル）に書き込み - Linux: 権限昇格のための永続化目標として を修正 - Windows: （Pythonバックドア）、 （一時保存領域）、 （状態管理ファイル）、 （永続化対象）に書き込み 資格情報窃盗: - Vault: 、 、Kubernetesサービスアカウントトークン、AWS IAM認証トークン - npm: のトークン、OIDCトークン交換 - AWS: IMDS/ECSメタデータサービス、Secrets Manager、SSMパラメータストア、Web IDトークン - GitHub: 、 、環境変数、およびプロセスメモリから 、 、 プレフィックスのトークンを窃盗 - 1Password: CLIセッションが実行時にアクティブな場合、その内容を窃盗 - ファイルシステム: SSH秘密鍵、 ファイル、GCPアプリケーションデフォルトの資格情報、Docker構成ファイル データ漏洩: - HTTPS経由で攻撃者のインフラストラクチャへ、GitHub APIおよびDNSを介した隠蔽チャネルを通じてデータを漏洩 時系列 2026-05-11 19:20-19:26: 攻撃者は42個の npmパッケージに対し、84個の悪意あるバージョンを公開 2026-05-11 20:43:01: Nxコントリビューターが外部リポジトリで を実行し、マルウェアが スクリプトを実行 2026-05-11 20:43:51: 攻撃者が最初の悪意あるコミットをプッシュ 2026-05-11 20:44:15-20:45:56: 最初のGitHubワークフロー改ざんクリーンアップ 2026-05-11 21:34, 21:36: マルウェアがローカルで再実行され、2回目のワークフロー削除クリーンアップが行われる 2026-05-12 00:12:49: を公開し、TanStackの脆弱性を開示 2026-05-15 23:56:05: 攻撃者が同じトークンを使用して戻ってくる 2026-05-16 00:04:07: 監査ログで窃盗したトークンが使用される最後の時点 根本原因 1. TanStackサプライチェーン攻撃: 攻撃者はTanStackの配信パイプラインの脆弱性を悪用し、悪意あるバージョンを公開 2. 設定の問題: プロジェクトは （7日）を設定しているが、 フィールドはnpm 10.14を指しており、この設定をサポートしていない 3. CLI資格情報の取得可能性: 攻撃者はローカルのプロセスを介して CLIの資格情報を取得 4. Nx Consoleの配信パイプラインが単一アクターによる公開を許可: 配信パイプラインに審査規則、 ゲートウェイ、および公開バージョンが公開決定と一致しているかを確認する仕組みが要求されていなかった コードブロック まとめ Nx Console v18.95.0ではサプライチェーン攻撃の脆弱性が存在し、攻撃者はTanStackサプライチェーン攻撃を通じてコントリビューターのGitHub OAuthトークンを取得し、悪意あるバージョンを公開しました。影響を受けたユーザーは直ちにv18.100.5以降に更新し、関連するすべての資格情報をローテーションしてください。

目標達成 すべての支援者に感謝 — 100%達成しました！

Nx Console v18.95.0 Supply Chain Attack: Malware Analysis & Mitigation

目標達成すべての支援者に感謝 — 100%達成しました！