【高危】NPM组件 @ctra/utils 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @ctra/utils 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-oxnb-k1ly |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-07-26 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| openai-fm | [0.1.0, 0.1.0] | – |
| react-native-kraken-oauth | [1.0.0, 1.0.0] | – |
| apache-httpclient1 | [1.0.0, 1.0.0] | – |
| paypal-examples-langchain | [1.0.0, 1.0.0] | – |
| shopify-dev | [1.0.0, 1.0.0] | – |
| telenet-poc | [11.0.0, 11.0.0] | – |
| malware | [1.0.0, 1.0.0] | – |
| plex-slack-music-notifications | [7.7.7, 7.7.7] | – |
| esana-mrhansamala | [1.0.0, 1.0.0] | – |
| coming.lk | [1.0.0, 1.0.0] | – |
| grammy-key | [2.8.7, 2.8.7] | – |
| base64coder | [1.0.1, 1.2.0] | – |
| hypervector-tbank-test | [0.2.0, 0.2.0] | – |
| retool-security-install-qa | [1.0.3, 1.0.5] | – |
| @teamstelemetry/shared-logger | [9.2.0, 9.2.1] | – |
| airbnb-prod | [1.0.1, 1.0.1] | – |
| igshared | [8.1.2, 8.1.2] | – |
| create-html-improved | [4.1.0, 4.1.6] | – |
| jsmimeparser | [3.0.1, 3.0.1] | – |
| mrhansamala-live | [1.1.0, 1.1.0] | – |
| runtime-dom | [3.5.12, 8.0.11] | – |
| shopify-function-trampoline | [1.0.0, 1.0.0] | – |
| dexa56 | [1.0.0, 1.0.0] | – |
| @googlesitekit/assets | [1.1.1, 9.9.9] | – |
| uidraftism | [1.0.1, 1.0.1] | – |
| @mrhansamala/error | [1.0.0, 1.1.0] | – |
| snx-sips | [1.0.0, 1.0.0] | – |
| ssr-frontend | [1.0.0, 1.0.0] | – |
| lscommons | [9.2.0, 9.2.0] | – |
| scheduler-builtin | [10.0.1, 10.0.1] | – |
| mini-builder | [0.0.1, 0.0.1] | – |
| apache-httpclient4 | [1.0.0, 1.0.0] | – |
| dctnev | [17.2.0, 17.2.1] | – |
| events-web | [0.0.1, 1.0.0] | – |
| base128-x58 | [0.0.1, 0.0.1] | – |
| grafana-config-pipeline | [99.99.99, 99.99.99] | – |
| @ctra/utils | [1.999.0, 1.999.0] | – |
| @greenjamsec/test | [1.0.0, 1.0.0] | – |
| @hypervector/hypervector-tbank-test | [0.2.0, 5.0.5] | – |
| key-transparency | [99.99.99, 99.99.99] | – |
| retirejs | [0.1.2-a1, 0.1.2-a1] | – |
| internallib_v741 | [1.0.2, 1.0.3] | – |
| prospects | [6.1.0, 6.1.0] | – |
| swap-token-list-poc | [1.0.0, 1.0.0] | – |
| lifetomrhansamala | [1.1.0, 1.1.0] | – |
| dbbd | [1.0.0, 1.0.0] | – |
| threema-desktop | [7.7.7, 7.7.7] | – |
| gafana-test-utils | [1.0.0, 1.0.4] | – |
| grafana-internal-config-loader | [99.99.99, 99.99.99] | – |
参考链接
https://www.oscs1024.com/hd/MPS-oxnb-k1ly
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=WB8Q
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@ctra/utils@1.999.0
攻击目标：依赖该包的企业项目
理由：作为主要投毒包，窃取主机敏感信息，可能针对使用它的企业内部系统。 -
包名：airbnb-prod@1.0.1
攻击目标：Airbnb生产环境组件
理由：包名含“airbnb-prod”，直接指向Airbnb生产环境，可能窃取其内部主机信息。 -
包名：@googlesitekit/assets@1.1.1
攻击目标：WordPress网站管理员主机
理由：Google Site Kit插件广泛用于WordPress，可通过该包收集大量用户主机信息。 -
包名：retool-security-install-qa@1.0.3
攻击目标：Retool企业安全测试环境
理由：包名涉及Retool安全安装QA，可能窃取企业内部安全测试环境主机数据。
