【高危】NPM组件 @amiga-fwk-nodejs/log 等窃取主机敏感信息
漏洞描述
当用户安装受影响版本的 @amiga-fwk-nodejs/log 等NPM组件包时会窃取用户的主机名、用户名、工作目录、IP地址等信息并发送到攻击者可控的服务器地址。
| MPS编号 | MPS-l8r3-kn1o |
|---|---|
| 处置建议 | 强烈建议修复 |
| 发现时间 | 2025-08-13 |
| 投毒仓库 | npm |
| 投毒类型 | 主机信息收集 |
| 利用成本 | 低 |
| 利用可能性 | 中 |
影响范围
| 影响组件 | 受影响的版本 | 最小修复版本 |
|---|---|---|
| @daydreamer-ai/ai | [5.0.9, 5.0.10] | – |
| android-app-promotion | [100.1.0, 100.1.0] | – |
| @amigatechdocs/core | [331.0.0, 331.0.0] | – |
| ember-testing | [1.0.0, 1.0.0] | – |
| raphael.core | [1.0.0, 1.0.0] | – |
| gopro-plus-downloader | [8.0.1, 12.1.0] | – |
| sqrt_module | [1.0.0, 1.0.0] | – |
| keccak256-helpers | [1.3.1, 1.3.1] | – |
| brand_controllers | [1.0.0, 1.0.0] | – |
| rush-plugins | [1.0.0, 999.0.0] | – |
| @amiga-fwk-nodejs/metrics | [331.0.0, 331.0.0] | – |
| ac-dom-metrics | [1.0.0, 1.0.0] | – |
| itx-zara-web-common | [1.0.0, 331.0.0] | – |
| adril7122 | [41.7.2, 41.7.2] | – |
| electron-test-main | [2.0.1, 11.0.1] | – |
| erificatsion | [15.0.0, 15.0.0] | – |
| erification | [1.0.0, 1.0.0] | – |
| integreat-transporter-rabbitmq | [7.7.7, 7.7.7] | – |
| smartsign-deferred | [1.0.0, 1.0.0] | – |
| xo-angular-shims-placeholder | [88.8.8, 88.8.90] | – |
| ac-dom-emitter | [1.0.0, 1.0.0] | – |
| game-list | [1.0.0, 1.0.0] | – |
| ac-element-tracker | [1.0.0, 1.0.0] | – |
| javaxscript | [1.1.93, 1.1.96] | – |
| encrypt-layout-helpers | [3.9.1, 3.9.2] | – |
| ac-window-delegate | [1.0.0, 1.0.0] | – |
| arrdril712 | [42.7.2, 42.7.2] | – |
| @seznam-diskuze/embed | [100.1.0, 100.3.0] | – |
| errification | [1.0.0, 1.0.0] | – |
| eruification | [14.10.0, 14.10.0] | – |
| sarrdril712 | [42.7.2, 42.7.2] | – |
| ip-checks | [1.0.0, 1.0.0] | – |
| ardril712 | [42.7.2, 42.7.2] | – |
| @amiga-fwk-nodejs/log | [331.0.0, 331.0.0] | – |
| common_controllers | [1.0.0, 1.0.0] | – |
| dpais-chat-template-pwa | [1.2.0, 11.2.1] | – |
| ac-console | [1.0.0, 1.0.0] | – |
| ac-dom-traversal | [1.0.0, 1.0.0] | – |
| kingsly | [13.8.9, 13.8.9] | – |
| jenkins-trigger-action | [1.0.0, 10.0.1] | – |
参考链接
https://www.oscs1024.com/hd/MPS-l8r3-kn1o
安全处理建议
- 排查是否安装了受影响的包：
使用墨菲安全软件供应链安全平台等工具快速检测是否引入受影响的包。 - 立即移除受影响包：
若已安装列表中的恶意包，立即执行 npm uninstall <包名>，并删除node_modules和package-lock.json后重新安装依赖。 - 全面检查系统安全：
运行杀毒软件扫描，检查是否有异常进程、网络连接（重点关注境外 IP 通信），排查环境变量、配置文件是否被窃取（如数据库密码、API 密钥等），必要时重置敏感凭证。 - 加强依赖管理规范：
- 仅从官方 NPM 源安装组件，避免使用第三方镜像或未知来源的包。
- 使用npm audit、yarn audit定期检查依赖漏洞。
- 限制package.json中依赖的版本范围（如避免*或latest），优先选择下载量高、社区活跃的成熟组件。
- 集成墨菲安全软件供应链安全平台等工具自动监控风险。
一键自动排查全公司此类风险
墨菲安全为您免费提供一键排查全公司开源组件漏洞&投毒风险服务，可一键接入扫描全公司的代码仓库、容器镜像仓库、主机、制品仓库等。
试用地址：https://www.murphysec.com/adv?code=C0P4
提交漏洞情报：https://www.murphysec.com/bounty
关于本次投毒的分析
-
包名：@amiga-fwk-nodejs/log@331.0.0
攻击目标：Amiga Node.js框架相关项目
理由：包名含”fwk”（框架），与@amiga-fwk-nodejs/metrics等版本一致，属同一框架核心组件，易被依赖。 -
包名：rush-plugins@[1.0.0, 999.0.0]
攻击目标：使用rush-plugins的项目
理由：版本范围极广，可能作为插件集依赖投毒包，影响大量集成该插件的项目。 -
包名：@amigatechdocs/core@331.0.0
攻击目标：Amiga技术文档相关项目
理由：版本与Amiga框架组件一致，名称含”core”，可能为核心文档组件，被相关项目依赖。
