grafana

ChainCatcher 消息，据慢雾发布的威胁情报，近期多个高频 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud “迷你沙虫”供应链攻击。npm 账号 atool 被入侵，攻击者在 22 分钟内自动发布了 637 个恶意版本，涉及 317 个包。攻击者在 35 分钟内连续上传 durabletask 1.4.1、1.4.2 和 1.4.3 版本，绕过正常发布控制并冒充微软官方发布。 GitHub token 大规模泄露事件和 Grafana Labs 遭勒索攻击很可能与此供应链攻击相关。受影响组件包括 npm 生态系统中的 AntV、Echarts-for-react 等高频组件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻击者可窃取云和本地凭证、未经授权访问内部仓库和敏感云基础设施、横向移动至开发者机器和 CI/CD 管道、销售和利用泄露的 GitHub token、实施勒索和数据泄露威胁。 慢雾建议立即轮换所有暴露的凭证，替换受影响的包，隔离可能受感染的系统，并实施严格依赖审查政策。此前消息，“迷你沙虫”蠕虫近期在开源代码库里完成大面积感染，开发者需注意排查。

ChainCatcher 消息，开源数据可视化工具 Grafana 发布对 5 月 16 日的安全事件调查的最新进展，调查发现，此次事件仅限于 Grafana Labs 的 GitHub 环境，包括公开和私有源代码以及内部 GitHub 仓库，并未影响客户生产系统、运营或 Grafana Cloud 平台。下载的内容除源代码外，还包含部分团队用于协作和存储内部运营信息及业务细节的仓库，涉及业务联系姓名和邮箱地址，而非来自生产系统或云平台的数据。Grafana Labs 明确表示代码库被下载但未被篡改，目前客户和开源用户无需采取任何行动。该事件源于通过 Mini Shai-Hulud 运动进行的 TanStack npm 供应链攻击。Grafana Labs 于 5 月 11 日检测到恶意活动并启动应急响应，但因遗漏一个凭证导致攻击者获得访问权限。5 月 16 日收到赎金要求后，公司决定不支付赎金，并已轮换自动化凭证、实施增强监控、审计自 5 月 11 日以来的所有提交，并大幅强化了 GitHub 安全配置。公司已通知联邦执法部门，调查仍在进行中。

ChainCatcher 消息，开源数据可视化工具 Grafana 在 X 平台发文表示，近期发现一名未经授权的攻击者获取了可访问 Grafana Labs GitHub 环境的 Token，并借此下载代码库。 经调查确认，此次事件未涉及客户数据或个人信息泄露，也没有发现客户系统或业务运营受到影响，事件发生后已立即启动取证分析，并认为已定位凭证泄露源头，同时已部署额外安全措施以加强环境防护。 此外，Grafana 披露攻击者曾试图通过勒索方式要求支付赎金以阻止代码库被公开，但公司最终决定拒绝支付赎金，待调查结束后将公布更多事件复盘信息。

ChainCatcher 消息，Grafana 官方 X 账号发文表示，目前其调查结果显示，未发现任何代码被修改、生产系统遭受未授权访问、客户数据暴露或个人信息被访问的证据。 此前报道，慢雾监测到开源数据可视化工具 Grafana 疑似遭黑客攻击，攻击者或已植入恶意代码。

ChainCatcher 消息，慢雾科技首席信息安全官 23pds 在 X 平台发文称，开源数据可视化工具 Grafana 最近疑似被攻击，攻击者使用 Gato-X 窃取机密的签名，用 App 令牌对多个代码库进行了攻击。这个工作流程有一个可能相关的应用程序私钥，疑似攻击者使用精心设计的分支名称，注入 JavaScript 代码并窃取机密信息。

ChainCatcher 消息，据慢雾消息，Grafana 发布严重安全提醒，其存在账户被接管和认证绕过漏洞(CVE-2023-3128)，目前 PoC 在互联网上公开，已出现攻击案例。 Grafana 是一个跨平台、开源的数据可视化网络应用程序平台，用户配置连接的数据源之后，Grafana 可以在网络浏览器里显示数据图表和警告。Grafana 根据电子邮件的要求来验证 Azure Active Directory 账户。在 Azure AD 上，配置文件的电子邮件字段在 Azure AD 租户之间是不唯一的。当 Azure AD OAuth 与多租户 Azure AD OAuth 应用配置在一起时，这可能会使 Grafana 账户被接管和认证绕过。其中，Grafana >= 6.7.0 受到影响。 加密货币行业有大量平台采用此方案用来监控服务器性能情况，请注意风险，并将 Grafana 升级到最新版本。(来源链接)