任意精度演算のnpmパッケージがマルウェア汚染

OpenSSLを使用して任意精度演算が行えるnpmパッケージ「bignum」の一部バージョンがマルウェアによって汚染されたことがわかった。

「同0.12.2」から「同0.13.0」までのバージョンでは、「node-pre-gyp」を使用してアドオンのプレビルドバイナリをオプションでダウンロードするが、同バイナリがマルウェアに置き換えられていることが明らかとなったもの。

バイナリの配布に利用していたクラウドストレージの有効期限が切れ、その後第三者が使用し、データを抜き出すマルウェアを含んだバイナリの配布を行なっているという。

同問題に対し、GitHubでは識別子「GHSA-7cgc-fjv4-52x6」を割り当てている。5月30日の時点でCVE番号は採番されていない。重要度は「クリティカル（Critical）」とレーティングされている。

2019年にリリースされた「同0.13.1」では、「node-pre-gyp」を利用しておらず、外部からビルド済みバイナリのダウンロードを行わないよう仕様が変更されており、同問題の影響を受けないとしている。

（Security NEXT - 2023/05/31 ）ツイート