Bitwarden CLI padło ofiarą ataku na łańcuch dostaw, a złośliwy pakiet krążył przez około 1,5 godziny

CISO 23pds firmy SlowMist ujawniło, że narzędzie do zarządzania hasłami Bitwarden CLI w wersji 2026.4.0 padło ofiarą ataku na łańcuch dostaw Checkmarx pomiędzy 17:57 a 19:30 czasu wschodniego. Atakujący przez krótki czas rozpowszechniał złośliwy pakiet za pośrednictwem npm, wykorzystując akcję GitHub w procesie CI/CD Bitwarden.

Oficjalne potwierdzenie stwierdza, że ​​dane Vault nie wyciekły i że systemy produkcyjne nie zostały zagrożone; problem dotyczył jedynie użytkowników, którzy w tym czasie zainstalowali tę wersję za pomocą npm. Oficjalne zalecenie dla użytkowników, których dotyczy problem, to natychmiastowe odinstalowanie wersji 2026.4.0, wyczyszczenie pamięci podręcznej npm, dokonanie rotacji poufnych danych uwierzytelniających, takich jak tokeny API i klucze SSH, zbadanie wszelkich nietypowych działań w serwisach GitHub i CI oraz uaktualnienie do wersji naprawionej 2026.4.1.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.