tgoop.com/nodejs_lib/358
Last Update:
🚨 Инцидент безопасности в CI-инфраструктуре Node.js (март 2025)
15 марта 2025 года команда Node.js обнаружила, что одна из CI-систем проекта (Continuous Integration) была скомпрометирована. Вредоносный код был внедрён злоумышленником в один из раннеров CI, использовавшийся для тестирования pull request’ов.
🔍 Что произошло:
* Компрометация произошла через GitHub Actions Runner в одном из fork-репозиториев.
* Вредоносный код собирал данные из окружения и передавал их на внешний сервер.
* Он не повлиял на релизы Node.js, так как релизные артефакты собираются в отдельной, изолированной инфраструктуре.
✅ Что было сделано:
* Сразу после обнаружения CI-инфраструктура была остановлена.
* Проведён аудит безопасности.
* Все секреты и ключи доступа были отозваны и заменены.
* Перепроверены все последние релизы на предмет возможной компрометации.
🧯 Вывод:
* Сам Node.js, его исходный код и дистрибутивы не были скомпрометированы.
* Инцидент затронул только инфраструктуру, обслуживающую внешние PR.
* Сейчас CI-инфраструктура запускается в обновлённой, безопасной конфигурации.
🛡 Рекомендации:
* Пользователям и разработчикам не нужно предпринимать никаких действий, если вы скачивали Node.js с официального сайта или используете его из проверенных источников.
https://nodejs.org/en/blog/vulnerability/march-2025-ci-incident
✍️ @nodejs_lib
BY Node JS
Share with your friend now:
tgoop.com/nodejs_lib/358