grafana

ChainCatcher 消息，据慢霧發布的威脅情報，近期多個高頻 npm 包包括 AntV 和 Echarts-for-react 以及 Python SDK durabletask 遭到 Mini Shai-Hulud "迷你沙蟲"供應鏈攻擊。npm 帳號 atool 被入侵，攻擊者在 22 分鐘內自動發布了 637 個惡意版本，涉及 317 個包。攻擊者在 35 分鐘內連續上傳 durabletask 1.4.1、1.4.2 和 1.4.3 版本，繞過正常發布控制並冒充微軟官方發布。GitHub token 大規模洩露事件和 Grafana Labs 遭勒索攻擊很可能與此供應鏈攻擊相關。受影響組件包括 npm 生態系統中的 AntV、Echarts-for-react 等高頻組件，以及 Python 包 durabletask 1.4.1、1.4.2 和 1.4.3。攻擊者可竊取雲和本地憑證、未經授權訪問內部倉庫和敏感雲基礎設施、橫向移動至開發者機器和 CI/CD 管道、銷售和利用洩露的 GitHub token、實施勒索和數據洩露威脅。慢霧建議立即輪換所有暴露的憑證，替換受影響的包，隔離可能受感染的系統，並實施嚴格依賴審查政策。此前消息，"迷你沙蟲"蠕蟲近期在開源代碼庫裡完成大面積感染，開發者需注意排查。

ChainCatcher 消息，開源數據可視化工具 Grafana 發布對 5 月 16 日的安全事件調查的最新進展，調查發現，此次事件僅限於 Grafana Labs 的 GitHub 環境，包括公開和私有源代碼以及內部 GitHub 倉庫，並未影響客戶生產系統、運營或 Grafana Cloud 平台。下載的內容除源代碼外，還包含部分團隊用於協作和存儲內部運營信息及業務細節的倉庫，涉及業務聯繫姓名和郵箱地址，而非來自生產系統或雲平台的數據。Grafana Labs 明確表示代碼庫被下載但未被篡改，目前客戶和開源用戶無需採取任何行動。該事件源於通過 Mini Shai-Hulud 運動進行的 TanStack npm 供應鏈攻擊。Grafana Labs 於 5 月 11 日檢測到惡意活動並啟動應急響應，但因遺漏一個憑證導致攻擊者獲得訪問權限。5 月 16 日收到贖金要求後，公司決定不支付贖金，並已輪換自動化憑證、實施增強監控、審計自 5 月 11 日以來的所有提交，並大幅強化了 GitHub 安全配置。公司已通知聯邦執法部門，調查仍在進行中。

ChainCatcher 消息，開源數據可視化工具 Grafana 在 X 平台發文表示，近期發現一名未經授權的攻擊者獲取了可訪問 Grafana Labs GitHub 環境的 Token，並藉此下載代碼庫。經調查確認，此次事件未涉及客戶數據或個人信息洩露，也沒有發現客戶系統或業務運營受到影響，事件發生後已立即啟動取證分析，並認為已定位憑證洩露源頭，同時已部署額外安全措施以加強環境防護。此外，Grafana 披露攻擊者曾試圖通過勒索方式要求支付贖金以阻止代碼庫被公開，但公司最終決定拒絕支付贖金，待調查結束後將公布更多事件復盤信息。

ChainCatcher 消息，Grafana 官方 X 帳號發文表示，目前其調查結果顯示，未發現任何代碼被修改、生產系統遭受未授權訪問、客戶數據暴露或個人信息被訪問的證據。此前報導，慢霧監測到開源數據可視化工具 Grafana 疑似遭黑客攻擊，攻擊者或已植入惡意代碼。

ChainCatcher 消息，慢霧科技首席信息安全官 23pds 在 X 平台發文稱，開源數據可視化工具 Grafana 最近疑似被攻擊，攻擊者使用 Gato-X 竊取機密的簽名，用 App 令牌對多個代碼庫進行了攻擊。這個工作流程有一個可能相關的應用程序私鑰，疑似攻擊者使用精心設計的分支名稱，注入 JavaScript 代碼並竊取機密信息。

ChainCatcher 消息，据慢霧消息，Grafana 發布嚴重安全提醒，其存在帳戶被接管和認證繞過漏洞(CVE-2023-3128)，目前 PoC 在互聯網上公開，已出現攻擊案例。Grafana 是一個跨平台、開源的數據可視化網絡應用程序平台，用戶配置連接的數據源之後，Grafana 可以在網絡瀏覽器裡顯示數據圖表和警告。Grafana 根據電子郵件的要求來驗證 Azure Active Directory 帳戶。在 Azure AD 上，配置檔的電子郵件字段在 Azure AD 租戶之間是不唯一的。當 Azure AD OAuth 與多租戶 Azure AD OAuth 應用配置在一起時，這可能會使 Grafana 帳戶被接管和認證繞過。其中，Grafana >= 6.7.0 受到影響。加密貨幣行業有大量平台採用此方案用來監控伺服器性能情況，請注意風險，並將 Grafana 升級到最新版本。(來源鏈接)