NPM组件包 @rspack/core、@rspack/cli 内嵌恶意代码

北京赛克艾威科技有限公司 2024-12-19

漏洞编号：暂无
漏洞等级：高危
漏洞标签：发布预警、投毒情报
发布时间：2024-12-19

漏洞描述

Rspack 是基于 Rust 编写的高性能 JavaScript 打包工具。由于Rspack 团队成员的 npm token被窃取，@rspack/core 和 @rspack/cli 1.1.7 版本被插入挖矿代码，当用户安装投毒版本时会下载并执行挖矿程序xmrig\(钱包地址：475NBZygwEajj4YP2Bdu7yg6XnaphiFjxTFPkvzg5xAjLGPSakE68nyGavn8r1BYqB44xTEyKQhueeqAyGy8RaYc73URL1j\)，并窃取用户云服务凭据\( /.aliyun/config.json、/.hcloud/config.json 以及 \~/.tccli/default.credential文件\)并发送到攻击者可控的服务器地址。