Une bibliothèque Axios compromise remet la chaîne d’approvisionnement au cœur des préoccupations

Ce qui s’est passé

Des chercheurs en sécurité et Google ont signalé une campagne liée à Corea del Norte qui a touché des logiciels largement utilisés dans les applications web, dont la bibliothèque Axios, et a introduit du code malveillant destiné, entre autres objectifs, au vol d’identifiants.

Cette affaire remet en lumière la chaîne d’approvisionnement logicielle: une bibliothèque utilisée par des milliers d’applications peut devenir un vecteur d’attaque si un composant de cette chaîne est compromis.

Ce que cela signifie pour une entreprise de taille moyenne

De nombreuses entreprises de taille moyenne ne développent pas leurs propres logiciels, mais utilisent des applications et des services reposant sur des bibliothèques open source comme Axios. Une compromission touchant une dépendance largement utilisée peut atteindre les environnements de production sans être détectée en l’absence de contrôle des versions.

Le risque ne dépend pas de la taille de l’entreprise, mais des contrôles que ses prestataires de développement ou sa propre équipe technique appliquent aux dépendances intégrées.

Les points à vérifier

Contrôles permettant de réduire le risque lié à une dépendance compromise:

• Si les versions des bibliothèques sont figées (verrouillage des versions) et ne sont pas mises à jour automatiquement sans vérification.
• S’il existe une analyse périodique des dépendances pour détecter les composants vulnérables ou suspects.
• Si des dépôts internes sont utilisés pour filtrer et valider les paquets avant leur mise à disposition des développeurs.
• Si le processus CI/CD intègre des contrôles empêchant le déploiement direct d’une mise à jour sans vérification.

Questions fréquentes

¿Qu’est-ce qu’Axios et pourquoi ce cas est-il important?

Il s’agit d’une bibliothèque très utilisée dans les applications web pour envoyer des requêtes aux serveurs; son utilisation à grande échelle fait qu’une compromission peut toucher un très grand nombre d’applications.

¿Une entreprise sans équipe de développement interne est-elle exposée?

Oui, indirectement, si ses fournisseurs de logiciels utilisent la bibliothèque concernée; il est recommandé de leur demander comment ils gèrent leurs dépendances.

¿Quelle mesure a le plus d’effet immédiat?

Le verrouillage des versions et l’analyse des dépendances, car ils empêchent qu’une mise à jour compromise soit directement mise en production.