Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

広く活用されるnpmパッケージ「UAParser.js」にマルウェア混入

npmパッケージ「UAParser.js」の一部バージョンに悪意あるコードが埋め込まれていたことがわかった。開発者は対象バージョンの利用者に対し、早急にアップデートを実施し、侵害状況を確認するよう注意を呼びかけている。

同パッケージ「UAParser.js(ua-parser-js)」は、ブラウザの利用環境を判定する機能を提供するJavaScriptライブラリ。「Node.js」のパッケージマネージャ「npm」などを通じて配布されており、ウェブサイトやアプリで広く活用されている。直近1週間のダウンロード数はnpmからだけで700万回以上にのぼっている。

悪意あるコードを含む「同1.0.0」「同0.8.0」「同0.7.29」が現地時間10月22日に公開されたことが明らかとなったもの。これらバージョンでは、リモートよりシステムの制御を奪われたり、機密情報を窃取されるおそれがある。

開発者は、自身の「npmアカウント」が乗っ取られ、悪意あるバージョンが公開されたと説明。問題部分を修正した「同1.0.1」「同0.8.1」「同0.7.30」を同日リリースした。

悪意あるコードが混入したバージョンを利用していた場合、侵害されたものとみなして対応するよう注意喚起を行った。

問題あるバージョンを削除した上で、端末内部に保存されたパスワードやキーなど変更する必要がある。また悪意あるバージョンを削除しても、ダウンロードされたマルウェアによって侵害が続くおそれがあるとして、感染状況などを確認するよう求めている。

(Security NEXT - 2021/10/25 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

農研機構の運営サイトが改ざん - トップページに無関係のイラスト
教員私物PCが「Emotet」感染、不正メール送信の踏み台に - 愛媛大
石川県の日本酒蔵元にサイバー攻撃 - 販売管理システムが停止
攻撃元はパートナー企業、二次流出の痕跡見つからず - キンコーズ
名古屋商工会議所にサイバー攻撃 - サーバが暗号化被害
約800自治体が採用する電子申請のヘルプデスクがEmotet感染
国家関与の攻撃グループ、早期より「VMware Horizon」「UAG」の「Log4Shell」を標的に
攻撃者視点でネットワークをテストするサービス - ユービーセキュア
サーバにサイバー攻撃、情報流出の痕跡見つからず - 長栄
「Emotet」感染、なりすましメールに注意喚起 - 都築電気