O npm realizou um reset em massa de tokens de acesso granular que burlavam a autenticação de dois fatores (2FA) após uma onda de ataques à cadeia de suprimentos ligados à campanha "Mini Shai-Hulud", que comprometeram centenas de pacotes JavaScript. A ação emergencial, realizada em 19 de maio, invalidou todos os tokens npm com permissões de escrita que permitiam publicação sem 2FA.
Detalhes Técnicos
Campanha Mini Shai-Hulud: Relacionada a ataques de cadeia de suprimentos que comprometem pacotes JavaScript.
Malware Shai-Hulud (S9008): Verme de cadeia de suprimentos que se espalha por repositórios de código, explorando dependências de pipeline CI/CD para se propagar e envenenar a cadeia de suprimentos publicando pacotes maliciosos.
Ação do npm: Revogação de tokens de acesso granular que burlavam 2FA para prevenir publicações maliciosas.
