【高危】NPM组件 @evt-cdk/codepipeline 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @evt-cdk/codepipeline 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-zin0-7bsl |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-08-07 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| react-dom-client | [1.0.0, 1.0.0] | – |
| criteo-video-player | [1.0.0, 1.0.0] | – |
| adminarmorproject | [19.0.0, 19.0.0] | – |
| assetslush | [27.3.1, 27.3.1] | – |
| gik2 | [1.0.0, 1.0.0] | – |
| newrelic-helper-lib | [1.0.0, 1.0.6] | – |
| @pico_/ssg | [6.0.0, 6.0.0] | – |
| cosmos-telescope-test | [0.0.1, 0.0.1] | – |
| mapbox-gl-js-toys | [5.0.0, 5.0.0] | – |
| @evt-cdk/codepipeline | [7.0.1, 7.0.3] | – |
| revshare-sdk-api | [2.4.1, 2.4.1] | – |
| react-sdk-solana | [2.4.1, 2.4.1] | – |
| shueoiwsi | [22.2.9, 22.2.9] | – |
| simple-web-app-package | [1.0.0, 3.0.0] | – |
| 1inch-p2p-sdk | [0.1.0, 0.1.0] | – |
| shmam-test-carrot | [1.0.0, 4.0.0] | – |
| quick-start_onnxruntime-node | [1.1.1, 1.3.5] | – |
| suepluxie | [2.3.1, 2.3.1] | – |
| exmo_api_lib_demo | [7.7.7, 7.7.7] | – |
| flockulick | [4.3.8, 4.3.8] | – |
| productboard-eslint-plugin-relay | [99.0.111, 10126.0.1112] | – |
| testt-tester | [1.0.0, 1.0.0] | – |
| gik2-test | [1.0.0, 1.0.0] | – |
| nova-state | [1.0.0, 1.0.2] | – |
| google-webfonts-helper | [9.9.9, 9.9.9] | – |
| productboard-freemail | [100.0.1112, 11091.0.1113] | – |
| airbnb-typescript | [1.0.0, 1.0.0] | – |
| shmam-test-grape | [1.0.0, 3.0.0] | – |
| cosmwasm-clients | [0.0.1, 0.0.1] | – |
| hathor-healthcheck-lib | [0.1.0, 0.1.0] | – |
| lynx-libs-mono | [1.0.1, 1.0.12] | – |
| react-sxt | [2.4.1, 2.4.1] | – |
| vampuleerl | [5.1.9, 5.1.9] | – |
| pino-sdk | [9.7.0, 9.7.0] | – |
参考链接
https://www.oscs1024.com/hd/MPS-zin0-7bsl
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=H8D1
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@evt-cdk/codepipeline@[7.0.1, 7.0.3]
攻击目标：AWS CDK CI/CD项目
理由：含”codepipeline”，关联AWS云部署流程，窃取开发环境敏感信息影响云基础设施安全。 -
包名：react-dom-client@1.0.0
攻击目标：React前端项目
理由：React生态核心组件，开发者安装时泄露主机信息，影响前端开发环境。 -
包名：adminarmorproject@19.0.0
攻击目标：企业管理系统
理由：名称含”admin”，可能关联管理后台项目，窃取管理员主机敏感数据。 -
包名：newrelic-helper-lib@[1.0.0, 1.0.6]
攻击目标：NewRelic监控集成项目
理由：NewRelic监控工具辅助库，目标获取监控相关主机信息，影响运维安全。 -
包名：simple-web-app-package@[1.0.0, 3.0.0]
攻击目标：基础Web应用
理由：通用Web应用包，广泛影响小型Web项目开发者，收集基础开发环境信息。
