144 Mastra npm പാക്കേജുകൾ വിട്ടുവീഴ്ച ചെയ്യപ്പെട്ടു
JavaScript ഇക്കോസിസ്റ്റത്തിൽ വലിയൊരു സപ്ലൈ ചെയിൻ ആക്രമണം (supply chain attack) ഉണ്ടായിരിക്കുന്നു. ആക്രമണകാരികൾ ehindero എന്ന പേരുള്ള ഒരു npm കൺട്രിബ്യൂട്ടർ അക്കൗണ്ട് കൈക്കലാക്കി. ഈ ആക്സസ് ഉപയോഗിച്ച് അവർ @mastra എന്ന നേംസ്പേസിന് കീഴിലുള്ള 144 പാക്കേജുകളിലേക്ക് മാലീഷ്യസ് അപ്ഡേറ്റുകൾ പ്രസിദ്ധീകരിച്ചു.
AI ആപ്ലിക്കേഷനുകൾ നിർമ്മിക്കുന്നതിനുള്ള പ്രശസ്തമായ ഒരു ഫ്രെയിംവർക്കാണ് Mastra. ഈ സുരക്ഷാ വീഴ്ച AI ഉൽപ്പന്നങ്ങളെ വലിയ അപകടസാധ്യതയിലാക്കുന്നു.
ആക്രമണം നടന്ന രീതി:
- ആക്രമണകാരികൾ ക്രെഡൻഷ്യലുകൾ മോഷ്ടിക്കുകയോ ഫിഷിംഗ് (phishing) ഉപയോഗിക്കുകയോ ചെയ്തുകൊണ്ട് ഒരു കൺട്രിബ്യൂട്ടർ അക്കൗണ്ട് കൈക്കലാക്കി.
- നിയമപരമായ അക്കൗണ്ട് പെർമിഷനുകൾ ഉപയോഗിച്ചുകൊണ്ട് അവർ കോഡ് റിവ്യൂകളെ മറികടന്നു.
- അവർ വിശ്വസനീയമായ ലൈബ്രറികളിലേക്ക് നേരിട്ട് മാലീഷ്യസ് കോഡ് പ്രസിദ്ധീകരിച്ചു.
- ഇൻസ്റ്റാളേഷൻ അല്ലെങ്കിൽ അപ്ഗ്രേഡ് സമയത്ത് ഡൗൺസ്ട്രീം ഉപയോക്താക്കൾ ഈ മാലീഷ്യസ് കോഡ് സ്വയമേവ ഡൗൺലോഡ് ചെയ്തു.
നിങ്ങളുടെ AI ആപ്ലിക്കേഷനുകൾ നേരിടുന്ന അപകടസാധ്യതകൾ:
- API കീകൾ, സെൻസിറ്റീവ് ക്രെഡൻഷ്യലുകൾ എന്നിവയുടെ മോഷണം.
- സുരക്ഷിതമല്ലാത്ത ഔട്ട്പുട്ടുകൾ നൽകുന്ന രീതിയിൽ AI മോഡലുകളുടെ പ്രവർത്തനത്തിൽ മാറ്റം വരുത്തുക.
- നിങ്ങളുടെ CI/CD പൈപ്പ്ലൈനുകളിലോ ക്ലൗഡ് എൻവയോൺമെന്റുകളിലോ മാലീഷ്യസ് കോഡ് പ്രവർത്തിക്കുക.
നിങ്ങൾ ഇപ്പോൾ ചെയ്യേണ്ടത്:
- നിങ്ങളുടെ ഡിപെൻഡൻസികൾ ഓഡിറ്റ് ചെയ്യുക. ബാധിക്കപ്പെട്ട പാക്കേജുകൾ കണ്ടെത്താൻ
npm ls | grep "@mastra/"എന്ന കമാൻഡ് പ്രവർത്തിപ്പിക്കുക. - അറിയപ്പെടുന്ന സുരക്ഷാ വീഴ്ചകൾ ഉണ്ടോ എന്ന് പരിശോധിക്കുക.
npm auditഅല്ലെങ്കിൽ തേർഡ് പാർട്ടി സ്കാനറുകൾ ഉപയോഗിക്കുക. - നിങ്ങളുടെ വേർഷനുകൾ പിൻ (pin) ചെയ്യുക. വൈൽഡ്കാർഡുകൾ ഉപയോഗിക്കരുത്. അറിയപ്പെടുന്ന സുരക്ഷിതമായ ഒരു വേർഷൻ ഉപയോഗിക്കാൻ നിങ്ങളുടെ
package.jsonനിർബന്ധമാക്കുക. - ബാധിക്കപ്പെട്ട പാക്കേജുകൾ ഉടൻ തന്നെ നീക്കം ചെയ്യുക.
ഓപ്പൺ സോഴ്സിലെ സുരക്ഷ അക്കൗണ്ട് സുരക്ഷിതത്വത്തെ ആശ്രയിച്ചിരിക്കുന്നു. വിട്ടുവീഴ്ച ചെയ്യപ്പെട്ട ഒരു അക്കൗണ്ട് ആയിരക്കണക്കിന് പ്രോജക്റ്റുകളെ ബാധിച്ചേക്കാം. മൾട്ടി-ഫാക്ടർ ഓതന്റിക്കേഷൻ (multi-factor authentication) നടപ്പിലാക്കിയും കൃത്യമായ ഇടവേളകളിൽ ഡിപെൻഡൻസി ഓഡിറ്റുകൾ നടത്തിയും നിങ്ങളുടെ സപ്ലൈ ചെയിൻ സംരക്ഷിക്കുക.
ഇന്ന് തന്നെ നിങ്ങളുടെ ഡിപെൻഡൻസികൾ പരിശോധിക്കുക.
ഓപ്ഷണൽ ലേണിംഗ് കമ്മ്യൂണിറ്റി: https://t.me/GyaanSetuAi