餘弦:雖然Ledger npmjs被投毒版本已刪除,但jsDelivr上還有一個有毒js文件

Odaily星球日報訊慢霧創始人餘弦在X平台發文表示,針對Ledger Connect Kit漏洞事件,專案方目前需要注意: 1. Ledger被投毒的模組在npmjs平台上,前員工的npmjs帳號被釣魚劫持走後,攻擊者就可以任意發布帶毒的模組版本。 2. 發佈後的模組會自動更新到jsDelivr CDN下。 3. Ledger的Connect Kit直接引入了jsDelivr CDN js文件,非常粗暴,沒有文件雜湊綁定,沒有嚴格限制引入版本。 4. 前員工居然還遺留這麼重要的權限,內部安全管理機制得好好增強了,最壞原則,如果內部作惡,是否可以有效避免並及時發現。 5. 需要注意下,雖然Ledger npmjs被投毒的版本已經刪除,但目前在jsDelivr上還有帶毒js檔。這些安全建議供其他專案方借鑒,別偷懶,每一次安全事件都是複盤自身的好機會。

Total
0
Shares
Related Posts