慢雾余弦:虽然Ledgernpmjs被投毒版本已删除,但目前jsDelivr上还有带毒js文件
币界网报道:币界网报道,慢雾创始人余弦在社交媒体就Ledger漏洞发文表示,项目方目前需要注意:
1. Ledger被投毒的模块在npmjs平台上,前员工的npmjs账号被钓鱼劫持走后,攻击者就可以任意发布带毒的模块版本。
2. 发布后的模块会自动更新到jsDelivr CDN下。
3. Ledger的Connect Kit直接引入了jsDelivr CDN js文件,非常粗暴,没有文件哈希绑定,没有严格限制引入版本。
4. 前员工居然还遗留这么重要的权限,内部安全管理机制得好好增强了,最坏原则,如果内部作恶,是否可以有效避免并及时发现。
5. 需要注意下,虽然Ledger npmjs被投毒的版本已经删除,但目前在jsDelivr上还有带毒js文件。
这些安全建议供其他项目方借鉴,别偷懒,每一次安全事件都是复盘自身的好机会。
推荐专栏
热门币种
更多
币种
美元价格
24H涨跌幅
热搜币种
更多
币种
美元价格
24H涨跌幅
最新快讯
更多
2024-05-17 10:38:51
2024-05-17 10:36:30
2024-05-17 10:33:45
2024-05-17 10:33:10
2024-05-17 10:31:51
2024-05-17 10:31:02
2024-05-17 10:30:02