Uma biblioteca Axios comprometida volta a colocar o foco na cadeia de abastecimento

O que aconteceu

Investigadores de segurança e a Google divulgaram uma campanha associada à Coreia do Norte que afetou software amplamente utilizado em aplicações web, incluindo a biblioteca Axios, e introduziu código malicioso destinado, entre outros objetivos, ao roubo de credenciais.

O caso volta a colocar o foco na cadeia de fornecimento de software: uma biblioteca utilizada por milhares de aplicações pode tornar-se um vetor de ataque se um componente dessa cadeia ficar comprometido.

O que significa para uma média empresa

Muitas médias empresas não desenvolvem software próprio, mas utilizam aplicações e serviços construídos com bibliotecas de código aberto como a Axios. Uma dependência amplamente utilizada que tenha sido comprometida pode chegar ao ambiente de produção sem que ninguém se aperceba se não houver controlo de versões.

O risco não depende da dimensão da empresa, mas sim de os seus fornecedores de desenvolvimento ou a sua própria equipa técnica aplicarem controlos às dependências que incorporam.

O que convém rever

Controlos que reduzem o risco de uma dependência comprometida:

• Se as versões das bibliotecas estão fixadas (bloqueio de versões) e não são atualizadas automaticamente sem revisão.
• Se existe uma análise periódica das dependências para detetar componentes vulneráveis ou suspeitos.
• Se forem utilizados repositórios internos que filtram e validam pacotes antes de chegarem aos programadores.
• Se o processo de CI/CD incluir controlos que impeçam a implementação direta de uma atualização sem verificação.

Perguntas frequentes

¿O que é o Axios e porque é este caso importante?

É uma biblioteca muito utilizada em aplicações web para fazer pedidos a servidores; por ser tão amplamente utilizada, o seu comprometimento pode afetar um número muito elevado de aplicações.

¿Uma empresa sem equipa de desenvolvimento própria está exposta?

Sim, de forma indireta, se os seus fornecedores de software utilizarem a biblioteca afetada; convém perguntar a esses fornecedores como gerem as suas dependências.

¿Que medida tem maior efeito imediato?

A fixação de versões e a análise de dependências, porque impedem que uma atualização comprometida chegue diretamente ao ambiente de produção.