grafana

慢雾が発表した脅威情報によると、最近複数の高頻度npmパッケージ、AntVやEcharts-for-react、Python SDKのdurabletaskがMini Shai-Hulud「ミニ沙虫」サプライチェーン攻撃を受けました。npmアカウントatoolが侵害され、攻撃者は22分以内に637の悪意のあるバージョンを自動的に公開し、317のパッケージに関与しました。攻撃者は35分以内にdurabletaskの1.4.1、1.4.2、1.4.3バージョンを連続してアップロードし、正常なリリース管理を回避してMicrosoftの公式リリースを偽装しました。GitHubトークンの大規模漏洩事件とGrafana Labsのランサムウェア攻撃は、このサプライチェーン攻撃と関連している可能性が高いです。影響を受けたコンポーネントには、npmエコシステム内のAntV、Echarts-for-reactなどの高頻度コンポーネント、及びPythonパッケージのdurabletask 1.4.1、1.4.2、1.4.3が含まれます。攻撃者はクラウドおよびローカルの認証情報を盗み、内部リポジトリや敏感なクラウドインフラに無許可でアクセスし、開発者のマシンやCI/CDパイプラインに横移動し、漏洩したGitHubトークンを販売・利用し、ランサムウェアやデータ漏洩の脅威を実施することができます。慢雾は、すべての露出した認証情報を直ちにローテーションし、影響を受けたパッケージを置き換え、感染の可能性があるシステムを隔離し、厳格な依存関係のレビュー政策を実施することを推奨しています。以前の報道によれば、「ミニ沙虫」ワームは最近オープンソースコードリポジトリで大規模感染を完了しており、開発者は注意して調査する必要があります。

オープンソースデータ可視化ツールGrafanaは、5月16日のセキュリティインシデント調査の最新の進展を発表しました。調査によると、このインシデントはGrafana LabsのGitHub環境に限定されており、公開およびプライベートのソースコードや内部GitHubリポジトリが含まれていますが、顧客の生産システム、運用、またはGrafana Cloudプラットフォームには影響を与えていません。ダウンロードされた内容にはソースコードの他に、チームが内部運用情報やビジネスの詳細を協力して保存するために使用するリポジトリが含まれており、ビジネスの連絡先名やメールアドレスが含まれていますが、生産システムやクラウドプラットフォームからのデータではありません。Grafana Labsは、コードベースがダウンロードされたが改ざんされていないことを明確に述べており、現在顧客やオープンソースユーザーは何らかの行動を取る必要はありません。このインシデントは、Mini Shai-Hulud運動を通じて行われたTanStack npmサプライチェーン攻撃に起因しています。Grafana Labsは5月11日に悪意のある活動を検出し、緊急対応を開始しましたが、1つの資格情報を見逃したために攻撃者がアクセス権を得てしまいました。5月16日に身代金要求を受けた後、会社は身代金を支払わないことを決定し、自動化された資格情報をローテーションし、監視を強化し、5月11日以降のすべてのコミットを監査し、GitHubのセキュリティ設定を大幅に強化しました。会社は連邦捜査機関に通知し、調査は現在も進行中です。

オープンソースデータ可視化ツールGrafanaはXプラットフォームで発表し、最近、無許可の攻撃者がGrafana Labs GitHub環境にアクセスできるトークンを取得し、それを利用してコードリポジトリをダウンロードしたことを発見したと述べています。調査の結果、この事件は顧客データや個人情報の漏洩には関与しておらず、顧客システムやビジネス運営に影響があったことも確認されていません。事件発生後、直ちに証拠分析が開始され、認証情報の漏洩源を特定したと考えられています。また、環境の防護を強化するために追加のセキュリティ対策が講じられました。さらに、Grafanaは攻撃者がコードリポジトリの公開を阻止するために身代金を要求しようとしたことを明らかにしましたが、会社は最終的に身代金の支払いを拒否し、調査が終了した後にさらなる事件の振り返り情報を公開することを決定しました。

ChainCatcher のメッセージ、Grafana の公式 X アカウントが発表したところによると、現在の調査結果では、コードの変更、製品システムへの不正アクセス、顧客データの漏洩、または個人情報へのアクセスの証拠は発見されていないとのことです。以前の報道では、SlowMist がオープンソースのデータ可視化ツール Grafana がハッカー攻撃を受けた疑いを監視しており、攻撃者が悪意のあるコードを植え付けた可能性があると報じています。

ChainCatcher のメッセージ、SlowMist テクノロジーの最高情報セキュリティ責任者 23pds が X プラットフォームで発表したところによると、オープンソースのデータ可視化ツール Grafana が最近攻撃された疑いがあり、攻撃者は Gato-X を使用して機密の署名を盗み、App トークンを用いて複数のコードリポジトリに対して攻撃を行ったとのことです。このワークフローには、関連する可能性のあるアプリケーションの秘密鍵が含まれており、攻撃者は巧妙に設計されたブランチ名を使用して JavaScript コードを注入し、機密情報を盗んだ疑いがあります。

ChainCatcher のメッセージによると、SlowMist の情報で、Grafana が深刻なセキュリティ警告を発表しました。アカウントの乗っ取りと認証バイパスの脆弱性 (CVE-2023-3128) が存在し、現在 PoC がインターネット上に公開されており、攻撃の事例が発生しています。Grafana は、クロスプラットフォームのオープンソースデータ可視化ウェブアプリケーションプラットフォームで、ユーザーが接続するデータソースを設定した後、Grafana はウェブブラウザでデータチャートや警告を表示できます。Grafana は、電子メールの要求に基づいて Azure Active Directory アカウントを検証します。Azure AD では、プロファイルの電子メールフィールドは Azure AD テナント間で一意ではありません。Azure AD OAuth とマルチテナント Azure AD OAuth アプリが一緒に構成されると、Grafana アカウントが乗っ取られ、認証がバイパスされる可能性があります。その中で、Grafana >= 6.7.0 が影響を受けます。暗号通貨業界では、多くのプラットフォームがこのソリューションを採用してサーバーのパフォーマンスを監視していますので、リスクに注意し、Grafana を最新バージョンにアップグレードしてください。(出典リンク)