Malware in versie 4.6.6 van de veelgebruikte TypeScript-library Zod werd drie weken geleden ontdekt voordat besmette versies werden gepubliceerd.
In de populaire TypeScript-first validation library Zod is drie weken geleden een poging tot infectie met JavaScript-malware ontdekt. De malafide code in versie 4.6.6 zou remote JavaScript en een payload downloaden en uitvoeren, maar de besmette versie is nooit publiekelijk uitgebracht.
Zod wordt door applicaties gebruikt om te controleren of data het juiste formaat heeft voordat deze wordt verwerkt. De library heeft volgens gegevens 342 miljoen wekelijkse downloads. Op het platform Hacker News werd melding gemaakt van de malware-injectie, die inmiddels is geanalyseerd.
De malafide commit werd tijdig ontdekt voordat deze in de publicatiepipeline van npm terechtkwam, waardoor gebruikers geen besmette versie konden downloaden. Volgens de maintainer van Zod was het een 'close call' en is vermoedelijk een git push credential gecompromitteerd. De release flow van Zod is al beveiligd met trusted publishing en een aparte GitHub-omgeving voor veilige deployments.
Naar aanleiding van het incident heeft de maintainer besloten om alle npm-packages te verhuizen naar een omgeving met 'environment-scoped staged publishing' en verplichte tweefactorauthenticatie (2FA). Dit moet toekomstige aanvallen verder voorkomen.
